Symfony 和 Symfony HTTP Foundation 组件 4.1.x < 5.4.54 / 6.0.x < 6.4.46 / 7.0.x < 7.4.19 / 8.0.x < 8.1.7 拒绝服务漏洞

high Nessus 插件 ID 373649

语言：

简介

A PHP library installed on the remote host is affected by a denial of service vulnerability.

描述

远程主机上安装的 Symfony 和/或 Symfony HTTP Foundation 组件版本为 4.1.0 或更高但低于 5.4.54 的版本、6.0.0 或更高但低于 6.4.46 的版本、低于 7.4.19 的 7.0.x 版本，或低于 8.1.7 的 8.0.x 版本。因而会受到拒绝服务漏洞的影响。

- HeaderUtils::split() 使用某个模式解析标头值，该模式中用于匹配词元的备选分支也会匹配空白字符，并且后接否定后行断言。分隔符前的一串空白字符可以按指数级数量的方式分配到外围重复结构的各次迭代中，而引擎在结束匹配前会尝试所有这些方式。每次构建 Request 时，HeaderBag 都会对 Cache-Control 标头调用此方法，因此任何处理 HTTP 请求的应用程序都可能在未经身份验证的情况下被触及。未经身份验证的远程攻击者可通过发送一个包含此类标头的请求利用此问题，消耗过多 CPU 资源，造成拒绝服务。（CVE-2026-108082）

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。另请注意，此插件不区分通过操作系统程序包管理器安装的 PHP 程序包、通过 Composer 或其他来源安装的 PHP 程序包。因此，操作系统程序包存储库提供的程序包可能具有向后移植修复程序，但此插件可能会错误地将这些修复程序报告为漏洞。请参阅 CVE-2026-108082 的特定操作系统插件，以检查有无向后移植修复程序。