发布日期：2015-12-07
更新日期：2015-12-08

受影响系统：

Symfony Symfony 2.7.x-2.7.7
Symfony Symfony 2.6.x-2.6.12
Symfony Symfony 2.3.x-2.3.35

描述：

---

CVE(CAN) ID: CVE-2015-8125

Symfony是一款基于MVC架构的PHP框架。

Symfony 2.3.x-2.3.35, 2.6.x-2.6.12, 2.7.x-2.7.7版本存在安全漏洞，远程攻击者通过定时攻击造成各种影响。定时攻击涉及到Symfony/Component/Security/Http/RememberMe/PersistentTokenBasedRememberMeServices、Symfony Security组件的Symfony/Component/Security/Http/Firewall/DigestAuthenticationListener类、Symfony Form组件的Symfony/Component/Form/Extension/Csrf/CsrfProvider/DefaultCsrfProvider类中旧有的CSRF实现。

<*来源：RedTeam Pentesting GmbH （http://www.redteam-pentesting.de/）
  *>

建议：

---

厂商补丁：

Symfony
-------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

https://symfony.com/blog/cve-2015-8124-session-fixation-in-the-remember-me-login-feature

浏览次数：1552
严重程度：0（网友投票）