Nome do software vulnerável e versões afetadas:

Versões do Symfony anteriores à versão mais recente

Descrição:

O problema diz respeito a ataques de expansão de entidades XML (XEE), que podem levar a ataques de negação de serviço contra a memória RAM de um servidor. Isso se deve à ausência de um método para desativar entidades personalizadas no PHP, permitindo que um invasor defina uma entidade longa e faça referência a ela várias vezes em elementos do documento, criando um consumo excessivo de memória. O uso de certas opções, como LIBXML NOENT, pode ampliar o impacto. A vulnerabilidade pode ser explorada por meio de um ataque de explosão quadrática (Quadratic Blowup Attack), no qual uma entidade longa é definida e, em seguida, referenciada várias vezes no documento XML.

Recomendações:

Para versões do Symfony anteriores à versão mais recente, considere aplicar o patch fornecido para mitigar o problema.

Como solução temporária, considere desativar o uso de entidades personalizadas em documentos XML até que um patch esteja disponível.

Restrinja o acesso à funcionalidade de análise de XML vulnerável para minimizar o risco de exploração.

Evite usar a opção LIBXML NOENT, pois ela pode ampliar o impacto da vulnerabilidade.

Considere usar a função libxml disable entity loader(TRUE) para desativar o carregamento de entidades externas e, opcionalmente, a opção LIBXML NONET para impedir o acesso ao sistema de arquivos local.