Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Symfony <= 2.5.3 Betroffene Plattformen: Red Hat Fedora 21 Durch mehrere Schwachstellen in Symfony kann ein entfernter, nicht authentifizierter Angreifer falsche Informationen darstellen, Denial-of-Service-Angriffe durchführen, Informationen ausspähen, Cross-Site-Request-Forgery-Angriffe durchführen oder beliebigen Programmcode zur Ausführung bringen. Patch: Fedora Security Update FEDORA-2014-10239 https://admin.fedoraproject.org/updates/FEDORA-2014-10239/php-symfony-2.5.4-1.fc21

CVE-2014-6072: Schwachstelle in Symfony ermöglicht
Cross-Site-Request-Forgery

Es existiert eine Cross-Site-Request-Forgery-Schwachstelle in der
import/export-Funktion vom Symfony Web Profiler. Ein entfernter, nicht
authentifizierter Angreifer kann Cross-Site-Request-Forgery-Angriffe
durchführen.

CVE-2014-6061: Schwachstelle in Symfony ermöglicht das Ausspähen von
Informationen

Es existiert eine Schwachstelle in Symfony, bei der Nutzung von der
HTTP-Basic-oder Digest-Authentifizierung. Symfony verarbeitet den
Authentisierungs-Header nicht korrekt. Ein entfernter, nicht
authentifizierter Angreifer kann so sensible Informationen ausspähen.

CVE-2014-5245: Schwachstelle in Symfony ermöglicht das Darstellen falscher
Informationen

Es existiert eine Schwachstelle in Symfony, wenn die ESI-Funktion aktiviert
ist und ein Proxy wie z.B. Varnish als vertrauenswürdig konfiguriert ist.
Der Fragment-Handler betrachtet Anfragen zur Berechnung von Fragmenten so,
als würden sie aus einer vertraulichen Quelle kommen, auch wenn diese direkt
ohne einen vertraulichen Proxy bezogen wurden. Symfony kann nicht zwischen
ESI-Anfragen im Namen vom Client durch Varnish und gefälschten Fragmenten
direkt von einem Client unterscheiden. Ein entfernter, nicht
authentifizierter Angreifer kann darüber falsche Informationen darstellen.

CVE-2014-5244: Schwachstelle in Symfony ermöglicht Denial-of-Service

Es existiert eine Schwachstelle in der getHost()-Funktion in Symfony, bei
der Validierung des Hostnamen durch reguläre Ausdrücke. Ein entfernter,
nicht authentifizierter Angreifer kann Denial-of-Service-Angriffe
durchführen, indem er einen beliebig langen Hostnamen versendet.

CVE-2014-4931: Schwachstelle in Symfony ermöglicht das Ausführen beliebigen
Programmcodes

Es existiert eine Schwachstelle bei der Implementation vom Symfony
Translation Caching im FrameworkBundle. Lokale Werte werden, ohne zuvor
bereinigt zu werden, in eine PHP-Datei geschrieben, die im Cache generiert
wird. Ein entfernter, nicht authentifizierter Angreifer kann, durch das
Einfügen von PHP-Code in eine lokale Variable, diesen PHP-Code zur
Ausführung bringen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1167/

Fedora Security Update FEDORA-2014-10239:
https://admin.fedoraproject.org/updates/FEDORA-2014-10239/php-symfony-2.5.4-1.fc21

CVE-2014-5244: Denial-of-Service über manipulierten HTTP-Header:
http://symfony.com/blog/cve-2014-5244-denial-of-service-with-a-malicious-http-host-header

CVE-2014-5245: Direkter Zugriff auf ESI URLs:
http://symfony.com/blog/cve-2014-5245-direct-access-of-esi-urls-behind-a-trusted-proxy

CVE-2014-6061: Schwachstelle beim Parsen vom Authorisierungs-Header :
http://symfony.com/blog/cve-2014-6061-security-issue-when-parsing-the-authorization-header

CVE-2014-6072: CSRF Schwachstelle im Web Profiler :
http://symfony.com/blog/cve-2014-6072-csrf-vulnerability-in-the-web-profiler

Schwachstelle CVE-2014-4931 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-4931

Schwachstelle CVE-2014-5244 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-5244

Schwachstelle CVE-2014-5245 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-5245

Schwachstelle CVE-2014-6061 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6061

Schwachstelle CVE-2014-6072 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6072

Security Releases (CVE-2014-4931): Symfony 2.3.18, 2.4.8 und 2.5.2:
http://symfony.com/blog/security-releases-cve-2014-4931-symfony-2-3-18-2-4-8-and-2-5-2-released

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.