Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Symfony より前の 2.7.x2.7.38、 2.8.x2.8.31より前の 、 3.2.x3.2.14より前の 、 3.3.x3.3.13より前の で問題が発見されました。DefaultAuthenticationSuccessHandlerまたはDefaultAuthenticationFailureHandlerは、_target_pathパラメーターのコンテンツを取得し、リダイレクト応答を生成しますが、パスのチェックは実行されず、外部ドメインへの絶対URLになる可能性があります。このオープンリダイレクトの脆弱性が悪用され、例えば、効果的なフィッシング攻撃が仕掛けられる可能性があります。CVE-2017-16652

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

PHPのWebアプリケーションフレームワークであるsymfonyにいくつかのセキュリティ上の脆弱性が見つかりました。以下に挙げる多くのsymfonyコンポーネントが影響を受けます: セキュリティ、バンドルリーダー、セッション処理、SecurityBundle、HttpFoundation、Form、Security\Http。

対応するアップストリームアドバイザリには、次の詳細が含まれています:

[CVE-2017-16652] https://symfony.com/blog/cve-2017-16652-open-redirect-vulnerability-on
-security-handlers

[CVE-2017-16654] https://symfony.com/blog/cve-2017-16654-intl-bundle-readers-breaking-out-of-paths

[CVE-2018-11385] https://symfony.com/blog/cve-2018-11385-session-fixation-issue-for-guard-authentication

[CVE-2018-11408] https://symfony.com/blog/cve-2018-11408-open-redirect-vulnerability-on
-security-handlers

[CVE-2018-14773] https://symfony.com/blog/cve-2018-14773-remove-support-for-legacy-and-risky-http-headers

[CVE-2018-19789] https://symfony.com/blog/cve-2018-19789-disclosure-of-uploaded-files-full-path

[CVE-2018-19790] https://symfony.com/blog/cve-2018-19790-open-redirect-vulnerability-when-using-security-http

Debian 8「Jessie」では、これらの問題はバージョン2.3.21+dfsg-4+deb8u4で修正されました。

お使いのsymfonyパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

## 3.3.17（2018-05-25）

  - セキュリティ #cve-2018-11407 [Ldap] 空のパスワードをチェックする際に文字列にキャストします

  - セキュリティ＃cve-2018-11408 [SecurityBundle] security.http_utilsを構成できない場合に失敗します

  - セキュリティ＃cve-2018-11406 ユーザーがログアウトしたときにCSRFトークンをクリアします

  - セキュリティ＃cve-2018-11385 UsernamePasswordJsonAuthenticationListener用のセッションの移行

  - セキュリティ＃cve-2018-11386 [HttpFoundation] MySQLがルーズモードのときにPdoSessionHandlerの無限ループを抜けます

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
256038	Linux Distros のパッチ未適用の脆弱性: CVE-2017-16652	Nessus	Misc.	2025/8/27	2025/8/27	medium
122721	DebianDLA-1707-1: symfonyのセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/3/11	2025/3/20	high
110949	Fedora 27：php-symfony（2018-2bdfc9dc67）	Nessus	Fedora Local Security Checks	2018/7/9	2024/9/6	medium
110952	Fedora 27：php-symfony3（2018-c8ddc44bbb）	Nessus	Fedora Local Security Checks	2018/7/9	2024/9/6	medium

検出

プラグインの検索

medium

high

medium

medium