Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Symfony <= 2.3.29 Betroffene Plattformen: Extra Packages for Red Hat Enterprise Linux 6 Mehrere Schwachstellen in Symfony ermöglichen einem entfernten, nicht authentifizierten Angreifer Cross-Site-Request-Forgery (CSRF) und Denial-of-Service-Angriffe. Er könnte außerdem in der Lage sein, durch das Ausnutzen einiger Schwachstellen, beliebigen Programmcode auszuführen oder sensible Informationen auszuspähen. Fedora stellt dazu das Sicherheitsupdate 2.3.30 für Symfony zur Verfügung, das diese Schwachstellen in EPEL 6 schließt. Patch: Fedora Security Update FEDORA-EPEL-2015-6672 https://admin.fedoraproject.org/updates/FEDORA-EPEL-2015-6672/php-symfony-2.3.30-1.el6

CVE-2015-4050: Schwachstelle in FragmentListener erlaubt Umgehen von
Sicherheitsvorkehrungen

Eine Schwachstelle in PHP Symfony führt dazu, das Anwendungen, für die ESI-
oder SSI-Unterstützung aktiviert ist und die den FragmentListener verwenden,
gegen unautorisierten Zugriff verwundbar sind. Ein böswilliger Benutzer
kann, indem einen ungültigen Hash-Wert in einer URL übergibt (oder diesen
entfernt), jeden beliebigen Controller über einen “/_fragment”-Pfad aufrufen
und somit URL-Signatur und Sicherheitsregeln umgehen.

CVE-2015-2309: Schwachstelle in Symfony HttpKernel ermöglicht das Auführen
beliebigen Programmcodes mit den Rechten des Dienstes

Bestimmte Tags werden im Symfony HttpKernel nicht ausreichend maskiert, so
dass Anwendungen mit aktivierter ESI-Unterstützung und aktivem Reverse Proxy
(Symfony\Component\HttpKernel\HttpCache class) anfällig für das Einschleusen
von PHP-Code sind. Ein entfernter, nicht authentifizierter Angreifer kann
diese Schwachstelle ausnutzen, um beliebigen Programmcode mit den Rechten
des Webservers auszuführen.

CVE-2015-2308: Schwachstelle in Symfony HttpFoundation ermöglicht das
Manipulieren von HTTP Headern

Die Symfony\Component\HttpFoundation\Request Klasse bietet einen Mechanismus
an, der zusichert, dass HTTP Headern von nicht vertrauenswürdigen Klienten
nicht vertraut wird. Sobald aber ein vertrauenswürdiger Proxy in eine
Anfrage involviert ist, wird jeder Klient als vertrauenswürdig eingestuft.
Ein entfernter, nicht authentifizierter Angreifer als Mittelsmann im
Netzwerk zwischen Webserver und einem vertrauenswürdigen Proxy kann diese
Schwachstelle ausnutzen, um HTTP Header zu manipulieren.

CVE-2014-6072: Schwachstelle in Symfony ermöglicht
Cross-Site-Request-Forgery

Es existiert eine Cross-Site-Request-Forgery-Schwachstelle in der
import/export-Funktion vom Symfony Web Profiler. Ein entfernter, nicht
authentifizierter Angreifer kann Cross-Site-Request-Forgery-Angriffe
durchführen.

CVE-2014-6061: Schwachstelle in Symfony ermöglicht das Ausspähen von
Informationen

Es existiert eine Schwachstelle in Symfony, bei der Nutzung von der
HTTP-Basic-oder Digest-Authentifizierung. Symfony verarbeitet den
Authentisierungs-Header nicht korrekt. Ein entfernter, nicht
authentifizierter Angreifer kann so sensible Informationen ausspähen.

CVE-2014-5245: Schwachstelle in Symfony ermöglicht das Darstellen falscher
Informationen

Es existiert eine Schwachstelle in Symfony, wenn die ESI-Funktion aktiviert
ist und ein Proxy wie z.B. Varnish als vertrauenswürdig konfiguriert ist.
Der Fragment-Handler betrachtet Anfragen zur Berechnung von Fragmenten so,
als würden sie aus einer vertraulichen Quelle kommen, auch wenn diese direkt
ohne einen vertraulichen Proxy bezogen wurden. Symfony kann nicht zwischen
ESI-Anfragen im Namen vom Client durch Varnish und gefälschten Fragmenten
direkt von einem Client unterscheiden. Ein entfernter, nicht
authentifizierter Angreifer kann darüber falsche Informationen darstellen.

CVE-2014-5244: Schwachstelle in Symfony ermöglicht Denial-of-Service

Es existiert eine Schwachstelle in der getHost()-Funktion in Symfony, bei
der Validierung des Hostnamen durch reguläre Ausdrücke. Ein entfernter,
nicht authentifizierter Angreifer kann Denial-of-Service-Angriffe
durchführen, indem er einen beliebig langen Hostnamen versendet.

CVE-2014-4931: Schwachstelle in Symfony ermöglicht das Ausführen beliebigen
Programmcodes

Es existiert eine Schwachstelle bei der Implementation vom Symfony
Translation Caching im FrameworkBundle. Lokale Werte werden, ohne zuvor
bereinigt zu werden, in eine PHP-Datei geschrieben, die im Cache generiert
wird. Ein entfernter, nicht authentifizierter Angreifer kann, durch das
Einfügen von PHP-Code in eine lokale Variable, diesen PHP-Code zur
Ausführung bringen.

CVE-2014-4671: Schwachstelle in Adobe Flash Player

Eine Schwachstelle im Adobe Flash Player besteht in einer unzureichenden
Beschränkung des SWF-Dateiformates. Diese ermöglicht einem nicht
authentisierten, entfernten Angreifer, mittels präparierter OBJECT-Elemente
mit SWF-Inhalten, welche die Zeichensatzanforderungen für die Callback-API
erfüllen, Cross-Site-Request-Forgery (CSRF)-Angriffe gegen JSONP Endpunkte
durchzuführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0855/

Schwachstelle CVE-2014-4671 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-4671

Schwachstelle CVE-2014-4931 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-4931

Schwachstelle CVE-2014-5244 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-5244

Schwachstelle CVE-2014-5245 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-5245

Schwachstelle CVE-2014-6061 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6061

Schwachstelle CVE-2014-6072 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6072

Schwachstelle CVE-2015-2308 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2308

Schwachstelle CVE-2015-2309 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2309

Schwachstelle CVE-2015-4050 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-4050

Fedora Security Update FEDORA-EPEL-2015-6672:
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2015-6672/php-symfony-2.3.30-1.el6

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.