远程 Debian 10 主机上安装的程序包受到 dla-3493 公告中提及的多个漏洞影响。

  - Symfony 是适用于 Web 和控制台应用程序的 PHP 框架，是一组可重复使用的 PHP 组件。在尝试使用切换用户功能时，它会根据用户是否存在而进行不同处理，因此可以在没有相关权限的情况下枚举用户。我们现在确保，当用户无法切换时不论该用户是否存在，均返回 403，或是在用户不存在时返回 403。此问题的修补程序可用于分支 3.4。(CVE-2021-21424)

  - Symfony 是适用于 Web 和控制台应用程序的 PHP 框架，是一组可重复使用的 PHP 组件。Symfony HTTP 缓存系统充当反向代理：它会缓存整个响应（包括标头）并将其返回给客户端。在 `AbstractSessionListener` 最近的变更中，响应可能包含 `Set-Cookie` 标头。如果启用了 Symfony HTTP 缓存系统，此响应可能会对存储的内容进行计费并返回给下一个客户端。攻击者可利用此漏洞检索受害者的会话。此问题的修补程序可用于分支 4.4。(CVE-2022-24894)

  - Symfony 是适用于 Web 和控制台应用程序的 PHP 框架，是一组可重复使用的 PHP 组件。执行用户身份验证时，Symfony 默认会在用户登录时重新生成会话 ID，但保留其余会话属性。这不会在用户登录时清除 CSRF 标记，因此同站攻击者可通过执行类似于会话固定的攻击来绕过 CSRF 保护机制。
    4.4 分支已修复正此问题。(CVE-2022-24895)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian DLA-3493-1：symfony - LTS 安全更新

high Nessus 插件 ID 178174

版本 1.1

版本 1.0

版本 1.1 Jan 22, 2025, 8:38 PM CVSS metrics ("Cvssv4 score" set to 0.0) CVSSv2 severity (based on None, severity decreased from "High" to "Low") Plugin metadata Plugin Feed: 202501222038
版本 1.0 Jul 12, 2023, 8:02 AM New Plugin Feed: 202307120802