Symfony Routing/Security组件安全绕过漏洞

Symfony Routing/Security组件安全绕过漏洞

发布日期：2012-12-27
更新日期：2012-12-31

受影响系统：
Symfony Symfony < 2.0.20
描述：
--------------------------------------------------------------------------------
CVE(CAN) ID: CVE-2012-6431
 
Symfony 是基于MVC架构的PHP框架。它是一款以MIT License发行的自由软件。
 
Symfony 2.0.x的Routing和Security组件对编码URL的处理不一致，攻击者通过双重编码的URL可绕过其内部的URI限制。
 
<*来源：vendor
 
  链接：http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2012-6431
        http://symfony.com/blog/security-release-symfony-2-0-20-and-2-1-5-released
 *>

建议：
--------------------------------------------------------------------------------
厂商补丁：
 
Symfony
 -------
 Symfony已经为此发布了一个安全公告（security-release-symfony-2-0-20-and-2-1-5-released）以及相应补丁:
 
security-release-symfony-2-0-20-and-2-1-5-released：Security release: Symfony 2.0.20 and 2.1.5 released
 
链接：http://symfony.com/blog/security-release-symfony-2-0-20-and-2-1-5-released
 
补丁下载：https://github.com/symfony/symfony/commit/55014a6841bec50046e8329a4835c160ac31a496