CVE-2014-5245

Componente Symfony HttpKernel, versões 2.2.X a 2.5.X

Este problema afeta aplicativos com o recurso ESI habilitado e um proxy na frente do aplicativo web. O FragmentHandler considera as solicitações para renderizar fragmentos como provenientes de uma fonte confiável, mesmo que o cliente as solicite diretamente, devido à incapacidade de distinguir entre solicitações ESI feitas por um proxy como o Varnish e solicitações de fragmentos falsificadas vindas diretamente do cliente.

Para o Symfony 2.3.X, atualize para a versão 2.3.19 ou posterior.

Para o Symfony 2.4.X, atualize para a versão 2.4.9 ou posterior.

Para o Symfony 2.5.X, atualize para a versão 2.5.4 ou posterior.

Para o Symfony 2.2.X, não há correção oficial disponível, pois a versão não é mais mantida; considere usar a solução alternativa de configuração do Varnish:

sub vcl recv {

if (req.restarts == 0 && req.url ~ “^/ fragment”) {

error 400;

}

}