Vulnerabilidad en el archivo symfony/cache en ciertas interfaces del adaptador de caché en Symfony (CVE-2019-18889)
Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-94
Control incorrecto de generación de código (Inyección de código)
Fecha de publicación:
21/11/2019
Última modificación:
07/11/2023
Descripción
Se detectó un problema en Symfony versiones 3.4.0 hasta 3.4.34, 4.2.0 hasta 4.2.11 y 4.3.0 hasta 4.3.7. La serialización de ciertas interfaces del adaptador de caché podría resultar en la inyección de código remota. Esto está relacionado con el archivo symfony/cache.
Impacto
Puntuación base 3.x
9.80
Gravedad 3.x
CRÍTICA
Puntuación base 2.0
7.50
Gravedad 2.0
ALTA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:sensiolabs:symfony:*:*:*:*:*:*:*:* | 3.4.0 (incluyendo) | 3.4.34 (incluyendo) |
| cpe:2.3:a:sensiolabs:symfony:*:*:*:*:*:*:*:* | 4.2.0 (incluyendo) | 4.2.11 (incluyendo) |
| cpe:2.3:a:sensiolabs:symfony:*:*:*:*:*:*:*:* | 4.3.0 (incluyendo) | 4.3.7 (incluyendo) |
| cpe:2.3:o:fedoraproject:fedora:31:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- https://github.com/symfony/symfony/releases/tag/v4.3.8
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/UED22BOXTL2SSFMGYKA64ZFHGLLJG3EA/
- https://symfony.com/blog/cve-2019-18889-forbid-serializing-abstractadapter-and-tagawareadapter-instances
- https://symfony.com/blog/symfony-4-3-8-released



