**バージョン2.8.41**（2018-05-25）

  - バグ#27359 [HttpFoundation] MimeTypeGuesserの初期化中のperf問題を修正します（nicolas-grekas）

  - セキュリティ＃cve-2018-11408 [SecurityBundle] security.http_utilsを構成できない場合に失敗します

  - セキュリティ＃cve-2018-11406 ユーザーがログアウトしたときにCSRFトークンをクリアします

  - セキュリティ＃cve-2018-11385 Guardにセッション認証戦略を追加して、セッション固定を回避します

  - セキュリティ＃cve-2018-11385 すべてのリスナーにセッション戦略を追加し、起こり得るすべての固定を回避します

  - セキュリティ＃cve-2018-11386 [HttpFoundation] MySQLがルーズモードのときにPdoSessionHandlerの無限ループを抜けます

----

**バージョン2.8.40**（2018-05-21）

  - バグ#26781 [Form] transform()での、MoneyToLocalizedStringTransformerの除算の精度を修正します（syastrebov）

  - バグ#27286 [Translation] Occitan複数形ルールを追加します（kylekatarnls）

  - バグ#27246 session.nameで無効な文字を許可しません（ostrolucy）

  - バグ#24805 [Translation] ログアウトを修正します（MatTheCat）

  - バグ#27141 [Process] open_basedirが空でない場合に警告を抑制します（cbj4074）

  - バグ#27250 [Session] 制限：64文字以下のGET_LOCKのキー（oleg-andreyev）

  - バグ#27237 [Debug] 処理されたサイレントエラーに対するerror_get_last()の入力を修正します（nicolas-grekas）

  - バグ#27236 [Filesystem] error_get_last()の使用方法を修正します（nicolas-grekas）

  - バグ#27152 [HttpFoundation] ブレーススタイルの正規表現区切り文字を使用します（xabbuh）

  - 機能#24896 CODE_OF_CONDUCT.mdを追加します（egircys）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

**バージョン4.0.11**（2018-05-25）

  - バグ#27364 [DI]非共有サービスへの初期化されていない参照の不適切な例外を修正します（nicolas-grekas）

  - バグ#27359 [HttpFoundation] MimeTypeGuesserの初期化中のperf問題を修正します（nicolas-grekas）

  - セキュリティ＃cve-2018-11408 [SecurityBundle] security.http_utilsを構成できない場合に失敗します

  - セキュリティ＃cve-2018-11406 ユーザーがログアウトしたときにCSRFトークンをクリアします

  - セキュリティ＃cve-2018-11385 UsernamePasswordJsonAuthenticationListener用のセッションの移行

  - セキュリティ＃cve-2018-11385 Guardにセッション認証戦略を追加して、セッション固定を回避します

  - セキュリティ＃cve-2018-11385 すべてのリスナーにセッション戦略を追加し、起こり得るすべての固定を回避します

  - セキュリティ＃cve-2018-11386 [HttpFoundation] MySQLがルーズモードのときにPdoSessionHandlerの無限ループを抜けます

  - バグ#27341 [WebProfilerBundle]バリデーター/ダンプトレースCSS（yceruto）を修正しました

  - バグ#27337 [FrameworkBundle] CacheClearCommandの誤字を修正します（emilielorenzo）

----

**バージョン4.0.10**（2018-05-21）

  - バグ#27264 [Validator] URLバリデーターで厳格なタイプを使用します（mimo91）

  - バグ#27267 [DependencyInjection]配列env変数を解決します（jamesthomasonjr）

  - バグ#26781 [Form] transform()での、MoneyToLocalizedStringTransformerの除算の精度を修正します（syastrebov）

  - バグ#27286 [Translation] Occitan複数形ルールを追加します（kylekatarnls）

  - バグ#27271 [DI] ChildDefinitionでバインディングの定義を許可します（nicolas-grekas）

  - バグ#27246 session.nameで無効な文字を許可しません（ostrolucy）

  - バグ #27287 [PropertyInfo] parent|selfタイプヒントを解決する修正（nicolas-grekas）

  - バグ #27281 [HttpKernel] ArgumentMetadataFactoryでのself/parentの処理を修正します（fabpot）

  - バグ#24805 [Translation] ログアウトを修正します（MatTheCat）

  - バグ #27265 [DI]共有サービスは、非共有サービスではインライン化すべきではありません（nicolas-grekas）

  - バグ#27141 [Process] open_basedirが空でない場合に警告を抑制します（cbj4074）

  - バグ#27250 [Session] 制限：64文字以下のGET_LOCKのキー（oleg-andreyev）

  - バグ#27237 [Debug] 処理されたサイレントエラーに対するerror_get_last()の入力を修正します（nicolas-grekas）

  - バグ#27232 [Cache][Lock] error_get_last()の使用方法を修正します（nicolas-grekas）

  - バグ#27236 [Filesystem] error_get_last()の使用方法を修正します（nicolas-grekas）

  - バグ#27191 [DI]未使用のバインディングをスローする際に以前のエラーメッセージを表示します（nicolas-grekas）

  - バグ#27231 [FrameworkBundle] vagrant上のcache: clearを修正します（nicolas-grekas）

  - バグ#27222 [WebProfilerBundle] [Cache] getItemsを呼び出す際の計算ミスを修正します（fsevestre）

  - バグ#27227 [HttpKernel] NoConfigurationException「onKernelException()」を処理します（nicolas-grekas）

  - バグ#27152 [HttpFoundation] ブレーススタイルの正規表現区切り文字を使用します（xabbuh）

  - バグ#27158 [Cache] TagAwareAdapterでタグバージョンをフェッチするためのロジックを修正します（dmacher）

  - バグ#27143 [Console]デフォルトでは、Symfonyのコマンドの例外メッセージから短い例外トレース行を非表示にします（yceruto）

  - バグ#27133 [Doctrine Bridge] doctrineイベントリスナーの優先度を修正します（dmicher）

  - バグ#27135 [FrameworkBundle]コンパイラパスでCachePoolPruneCommandに正しいサービスIDを使用します（DemonTPx）

  - 機能#24896 CODE_OF_CONDUCT.mdを追加します（egircys）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

PHPのWebアプリケーションフレームワークであるsymfonyにいくつかのセキュリティ上の脆弱性が見つかりました。以下に挙げる多くのsymfonyコンポーネントが影響を受けます: セキュリティ、バンドルリーダー、セッション処理、SecurityBundle、HttpFoundation、Form、Security\Http。

対応するアップストリームアドバイザリには、次の詳細が含まれています:

[CVE-2017-16652] https://symfony.com/blog/cve-2017-16652-open-redirect-vulnerability-on
-security-handlers

[CVE-2017-16654] https://symfony.com/blog/cve-2017-16654-intl-bundle-readers-breaking-out-of-paths

[CVE-2018-11385] https://symfony.com/blog/cve-2018-11385-session-fixation-issue-for-guard-authentication

[CVE-2018-11408] https://symfony.com/blog/cve-2018-11408-open-redirect-vulnerability-on
-security-handlers

[CVE-2018-14773] https://symfony.com/blog/cve-2018-14773-remove-support-for-legacy-and-risky-http-headers

[CVE-2018-19789] https://symfony.com/blog/cve-2018-19789-disclosure-of-uploaded-files-full-path

[CVE-2018-19790] https://symfony.com/blog/cve-2018-19790-open-redirect-vulnerability-when-using-security-http

Debian 8「Jessie」では、これらの問題はバージョン2.3.21+dfsg-4+deb8u4で修正されました。

お使いのsymfonyパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

**バージョン3.4.11**（2018-05-25）

  - バグ#27364 [DI]非共有サービスへの初期化されていない参照の不適切な例外を修正します（nicolas-grekas）

  - バグ#27359 [HttpFoundation] MimeTypeGuesserの初期化中のperf問題を修正します（nicolas-grekas）

  - セキュリティ＃cve-2018-11408 [SecurityBundle] security.http_utilsを構成できない場合に失敗します

  - セキュリティ＃cve-2018-11406 ユーザーがログアウトしたときにCSRFトークンをクリアします

  - セキュリティ＃cve-2018-11385 UsernamePasswordJsonAuthenticationListener用のセッションの移行

  - セキュリティ＃cve-2018-11385 Guardにセッション認証戦略を追加して、セッション固定を回避します

  - セキュリティ＃cve-2018-11385 すべてのリスナーにセッション戦略を追加し、起こり得るすべての固定を回避します

  - セキュリティ＃cve-2018-11386 [HttpFoundation] MySQLがルーズモードのときにPdoSessionHandlerの無限ループを抜けます

  - バグ#27341 [WebProfilerBundle]バリデーター/ダンプトレースCSS（yceruto）を修正しました

  - バグ#27337 [FrameworkBundle] CacheClearCommandの誤字を修正します（emilielorenzo）

----

**バージョン3.4.10**（2018-05-21）

  - バグ#27264 [Validator] URLバリデーターで厳格なタイプを使用します（mimo91）

  - バグ#27267 [DependencyInjection]配列env変数を解決します（jamesthomasonjr）

  - バグ#26781 [Form] transform()での、MoneyToLocalizedStringTransformerの除算の精度を修正します（syastrebov）

  - バグ#27286 [Translation] Occitan複数形ルールを追加します（kylekatarnls）

  - バグ#27271 [DI] ChildDefinitionでバインディングの定義を許可します（nicolas-grekas）

  - バグ#27246 session.nameで無効な文字を許可しません（ostrolucy）

  - バグ #27287 [PropertyInfo] parent|selfタイプヒントを解決する修正（nicolas-grekas）

  - バグ #27281 [HttpKernel] ArgumentMetadataFactoryでのself/parentの処理を修正します（fabpot）

  - バグ#24805 [Translation] ログアウトを修正します（MatTheCat）

  - バグ #27265 [DI]共有サービスは、非共有サービスではインライン化すべきではありません（nicolas-grekas）

  - バグ#27141 [Process] open_basedirが空でない場合に警告を抑制します（cbj4074）

  - バグ#27250 [Session] 制限：64文字以下のGET_LOCKのキー（oleg-andreyev）

  - バグ#27237 [Debug] 処理されたサイレントエラーに対するerror_get_last()の入力を修正します（nicolas-grekas）

  - バグ#27232 [Cache][Lock] error_get_last()の使用方法を修正します（nicolas-grekas）

  - バグ#27236 [Filesystem] error_get_last()の使用方法を修正します（nicolas-grekas）

  - バグ#27191 [DI]未使用のバインディングをスローする際に以前のエラーメッセージを表示します（nicolas-grekas）

  - バグ#27231 [FrameworkBundle] vagrant上のcache: clearを修正します（nicolas-grekas）

  - バグ#27222 [WebProfilerBundle] [Cache] getItemsを呼び出す際の計算ミスを修正します（fsevestre）

  - バグ#27227 [HttpKernel] NoConfigurationException「onKernelException()」を処理します（nicolas-grekas）

  - バグ#27152 [HttpFoundation] ブレーススタイルの正規表現区切り文字を使用します（xabbuh）

  - バグ#27158 [Cache] TagAwareAdapterでタグバージョンをフェッチするためのロジックを修正します（dmacher）

  - バグ#27143 [Console]デフォルトでは、Symfonyのコマンドの例外メッセージから短い例外トレース行を非表示にします（yceruto）

  - バグ#27133 [Doctrine Bridge] doctrineイベントリスナーの優先度を修正します（dmicher）

  - バグ#27135 [FrameworkBundle]コンパイラパスでCachePoolPruneCommandに正しいサービスIDを使用します（DemonTPx）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
120881	Fedora 28：php-symfony（2018-eba0006df2）	Nessus	Fedora Local Security Checks	2019/1/3	2024/6/28	high
120636	Fedora 28：php-symfony4（2018-96d770ddc9）	Nessus	Fedora Local Security Checks	2019/1/3	2024/7/2	high
122721	DebianDLA-1707-1: symfonyのセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/3/11	2025/3/20	high
120738	Fedora 28：php-symfony3 (2018-ba0b683c10)	Nessus	Fedora Local Security Checks	2019/1/3	2024/7/1	high

検出

プラグインの検索

high

high

high

high