远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4200 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4200-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 5 月 31 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包symfony 版本 4.4.19+dfsg-2+deb11u7 CVE ID CVE-2024-50343 CVE-2024-50345

    symfony 是一个用于 Web 和控制台应用程序和一组可重用 PHP 组件的 PHP 框架中发现安全漏洞这可导致绕过验证或开放重定向。

    CVE-2024-50343

        发现以 `\n` 结尾的输入可以绕过验证器。

    CVE-2024-50345

        Sam Mush 发现由于常见浏览器和 Request 类之间的 URI 解析不匹配攻击者可以提供特别构建的 URI 以绕过验证并将用户重定向到其他域。

    对于 Debian 11 Bullseye这些问题已在 4.4.19+dfsg-2+deb11u7 版本中修复。

    我们建议您升级 Symfony 程序包。

    如需了解 Symfony 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/symfony

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 20.04 LTS/22.04 LTS/24.04 LTS 主机上安装的多个程序包受到 USN-7272-1 公告中提及的多个漏洞影响。

    Soner Sayakci 发现，Symfony 未能正确处理 Web 缓存中的 Cookie 存储。攻击者可能利用此问题获取敏感信息并访问未经授权的资源。
    (CVE-2022-24894)

    Marco Squarcina 发现，Symfony 未能正确处理用户会话信息的存储。攻击者可能利用此问题进行跨站请求伪造 (CSRF) 攻击。
    (CVE-2022-24895)

    Pierre Rudloff 发现，Symfony 未能正确检查 HTML 输入。攻击者可能利用此问题执行跨站脚本攻击。(CVE-2023-46734)

    Vladimir Dusheyko 发现，Symfony 未能正确审查 URL 查询字符串中使用 PHP 指令的特殊输入。攻击者可能利用此问题暴露敏感信息或造成拒绝服务。此问题仅影响 Ubuntu 24.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2024-50340)

    Oleg Andreyev、Antoine Makdessi 和 Moritz Rauch 发现，Symfony 未能正确处理用户身份验证。攻击者可能利用此问题访问未经授权的资源并泄露敏感信息。这个问题只在 Ubuntu 24.04 LTS 中得到解决。(CVE-2024-50341、CVE-2024-51996)

    Linus Karlsson 和 Chris Smith 发现，Symfony 在解析主机期间返回内部主机信息。攻击者可能利用此问题获取敏感信息。此问题仅影响 Ubuntu 24.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2024-50342)

    发现 Symfony 未能正确通过正则表达式解析用户输入。攻击者可能利用此问题泄露敏感信息。(CVE-2024-50343)

    Sam Mush 发现，Symfony 未能正确解析带有特殊字符的 URI。攻击者可能利用此问题执行网络钓鱼攻击。(CVE-2024-50345)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - symfony/http-foundation 是 Symphony PHP 框架的一个模块，它为 HTTP 规范定义了一个面向对象的层。“Request”类解析包含特殊字符的 URI 的方式与浏览器不同。因此，攻击者可诱骗依赖“Request”类的验证器，将用户重定向到另一个域。“Request::create”方法现在断言 URI 不包含 https://url.spec.whatwg.org/定义的无效字符。已在  5.4.46、6.4.14 和 7.1.7 中修补此问题。建议用户升级。目前尚无针对此漏洞的解决方案。
    (CVE-2024-50345)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5809 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5809-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2024 年 11 月 11 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：symfony CVE ID：CVE-2024-50340 CVE-2024-50342 CVE-2024-50343 CVE-2024-50345

    Symfony PHP 框架中发现多个漏洞，可能会造成特权提升、跨站请求伪造、信息泄露、不正确验证或开放重定向。

    对于稳定发行版本 (bookworm)，这些问题已在 5.4.23+dfsg-1+deb12u3 版本中解决。

    我们建议您升级 symfony 程序包。

    如需了解 symfony 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/symfony

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
237658	Debian dla-4200php-symfony - 安全更新	Nessus	Debian Local Security Checks	2025/6/2	2025/6/2	low
216425	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS : Symfony 漏洞 (USN-7272-1)	Nessus	Ubuntu Local Security Checks	2025/2/18	2025/2/18	high
230637	Linux Distros 未修补的漏洞: CVE-2024-50345	Nessus	Misc.	2025/3/6	2025/3/6	low
210744	Debian dsa-5809：php-symfony - 安全更新	Nessus	Debian Local Security Checks	2024/11/11	2024/11/11	high

检测

插件搜索

low

high

low

high