Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Symfony から 2.8.02.8.50、 3.4.0 から 3.4.34、 4.2.0 から 4.2.11] 、 4.3.0 から 4.3.7で問題が発見されました。アプリケーションが、MIME タイプの検証を行うファイルとして未検証のユーザー入力を渡すと、任意の引数が下層のファイルコマンドに渡されます。これは symfony/http-foundation および 4.3.xの symfony/mime に関連しています。CVE-2019-18888

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

**バージョン2.8.52**（2019年11月13日）

  - セキュリティ #cve-2019-18888[HttpFoundation]先頭のダッシュがあるファイルのMIMEタイプの推測を修正します（nicolas-grekas）

  - セキュリティ#cve-2019-18887[HttpKernel]UriSignerの一定時間の比較を使用します（stof）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

**バージョン3.4.35**（2019年11月13日）

  - バグ#34344[Console]定数のSTDOUTが未定義の可能性がある（nicolas-grekas）

  - セキュリティ #cve-2019-18889[キャッシュ]AbstractAdapterとTagAwareAdapterのインスタンスのシリアル化を禁止します（nicolas-grekas）

  - セキュリティ #cve-2019-18888[HttpFoundation]先頭のダッシュがあるファイルのMIMEタイプの推測を修正します（nicolas-grekas）

  - セキュリティ#cve-2019-18887[HttpKernel]UriSignerの一定時間の比較を使用します（stof）

----

**バージョン3.4.34**（2019年11月11日）

  - バグ#34297[DI]数値キーのあるロケーターを修正します（nicolas-grekas）

  - バグ#34282[DI]欠落している親でクラスがキャッシュされません（nicolas-grekas）

  - バグ#34181[Stopwatch]複数の進行中の期間をカウントする際のgetDurationのバグを修正しました（TimoBakx）

  - バグ#34179[Stopwatch]StopwatchEvent: : getStartTimeのバグを修正しました（TimoBakx）

  - バグ#34203[FrameworkBundle][HttpKernel]EOLおよびEOM月を修正しました（erics86）

----

**バージョン3.4.33**（2019年11月1日）

  - バグ#33998[Config]不安定なソートのため、glob関数のデフォルトのアルファベットソートを無効にします（hurricane-voronin）

  - バグ#34144[Serializer]予期しないリソース値のメッセージを改善します（fancyweb）

  - バグ#34080[SecurityBundle]ファイアウォール構成のデフォルト引数のタイプを修正します（Shieldo）

  - バグ#33999[Form]*_SET_DATAイベントで作成された子フォームを必ず収集するようにします（yceruto）

  - バグ#34021[TwigBridge]チェックボックスのエラーを2回レンダリングしません（xabbuh）

  - バグ#34041[HttpKernel]生成されたばかりのコンテナディレクトリの不適切な削除を修正します（nicolas-grekas）

  - バグ#34023[Dotenv]一重引用符で囲まれた文字列のLFを許可します（nicolas-grekas）

  - バグ#33818[Yaml]タグ付けされた無効なインライン要素の例外をスローします（gharlan）

  - バグ#33948[PropertyInfo]パブリックメソッド名から推測する際に、プロパティ名の大文字小文字を区別します（antograssiot）

  - バグ#33962[Cache]無効なキャッシュ（v-m-i）を返すTagAwareAdapterを修正しました

  - バグ#33965[HttpFoundation]正当なMIMEサブタイプにプラス文字「+」を追加します（ilzrv）

  - バグ#32943[Dotenv]最初にENVの変数値を検索し、次にenvファイルを検索します（soufianZantar）

  - バグ#33943[VarDumper]CliDumperにおける「bold」状態の再設定を修正します（nicolas-grekas）

----

**バージョン3.4.32**（2019年10月7日）

  - バグ#33834[Validator]ValidValidatorグループのカスケード使用を修正します（fancyweb）

  - バグ#33841[VarDumper]初期化されていないSplFileInfoのダンプを修正します（nicolas-grekas）

  - バグ#33799[セキュリティ]：偽のユーザー名がなりすましをすり抜けないようにします（j4nr6n）

  - バグ#33814[HttpFoundation]データがSessionBagProxy: : initialize is an arrayに渡されるかどうかをチェックします（mynameisbogdan）

  - バグ#33805[FrameworkBundle]ConfigDebugCommandで間違って返されたステータスコードを修正します（jschaedl）

  - バグ#33781[AnnotationCacheWarmer]RedirectControllerを注釈キャッシュに追加します（jenschude）

  - バグ #33777 the: only-of-typeの疑似クラスセレクターを修正します（jakzal）

  - バグ#32051[Serializer]PHP 7.4用のCsvEncoderテストを追加します （ro0NL）

  - 機能#33776phpunit.xsdを予測可能なパスにコピーします（julienfalque）

  - バグ#33759[Security/Http]X509 emailAddressの解析を修正します（nicolas-grekas）

  - バグ#33733[Serializer]1つの要素のみがあるstring-arraysの非正規化を修正します（mkrauser）

  - バグ#33754[Cache]既知のタグバージョンttlのチェックを修正します（SwenVanZanten）

  - バグ#33646[HttpFoundation]未加工のクッキーへの追加文字を許可します（marie）

  - バグ#33748[Console]提案された代替策に隠しコマンドを含めません（m-vo）

  - バグ#33625[DependencyInjection]サービスが合成である場合の誤った例外を修正します（k0d3r1s）

  - バグ#32522[Validator]URLがロードされるため、URLバリデーターのアンダースコアを受け入れます（battye）

  - バグ#32437「_wdt」ルートにGETパラメーターが存在する場合のツールバーロードを修正します（Molkbain）

  - バグ#32925[Translation]フォールバック変換の際に元のロケールを収集します（digilist）

  - バグ#31198[FrameworkBundle]フレームワークバンドルロック構成が期待通りに動作しないことを修正します（HypeMC）

  - バグ#33719[キャッシュ]ネイティブのMemcachedオプションをオーバーライドしません（nicolas-grekas）

  - バグ#33675[PhpUnit]usleepモックの戻り値を修正します（fabpot）

  - バグ#33618他のコンポーネントのテストに依存するテストを修正します（xabbuh）

  - バグ#33626[PropertyInfo]タイプリゾルバー0.5との互換性を確保します（xabbuh）

  - バグ#33620[Twig]Twig構成の追加キーを修正します（fabpot）

  - バグ#33571[Inflector]「fees」を単数形の「fee」にするために「see」の「ee」へのサポートを追加します（maxhelias）

  - バグ#32763[Console]可能な場合には、Windowsのsttyから寸法を取得します（rtek）

  - バグ#33518 Yaml]スカラータグ値を独自の行にダンプしません（xabbuh）

  - バグ#32818[HttpKernel]Profilerで間違ったURLが返されるのを回避するためにgetFileLinkFormat()を修正します（Arman-Hosseini）

  - バグ#33487[HttpKernel]Apache mod_expiresセッションのキャッシュコントロールの問題を修正します（pbowyer）

  - バグ#33439[Validator]文字列を日付の動作に同期し、より適切な例外をスローします（fancyweb）

  - バグ#32903[PHPUnit Bridge]リスナーを2回登録しないようにします（alexpatt）

  - バグ#33402[Finder]Windowsでの意図しないファイルのロックを防止します（jspringe）

  - バグ#33396 修正#33395 PHP 5.3の互換性（kylekatarnls）

  - バグ#33385[Console]nullを返すCommand: : getName()を許可します（nicolas-grekas）

  - バグ#33353nullに設定された場合、Expireヘッダーとしてnullを返します（danrot）

  - バグ#33382[ProxyManager]ProxiedMethodReturnExpressionポリフィル（nicolas-grekas）を削除します

  - バグ#33377[Yaml]インライン化されていないスカラータグ値のダンプを修正します（xabbuh）

----

**バージョン3.4.31**（2019年8月26日）

  - バグ#33335[DependencyInjection]「getServiceIds」実装が常にエイリアスを返すように修正しました（pdommelen）

  - バグ#33244[Router]末尾のスラッシュのあるTraceableUrlMatcherの動作を修正します（Xavier Leune氏）

  - バグ#33172[Console]例外のスタックトレースに関数がない場合のPHP通知を修正しました（fabpot）

  - バグ#33157 ロを返すgetMaxFilesize()を修正します（ausi）

  - バグ#33139[Intl]未使用の言語エイリアスエントリをクリーンアップします（ro0NL）

  - バグ#33066[Serializer]負のDateIntervalを修正します（jderusse）

  - バグ#33033[Lock]NotSupportExceptionを一貫してスローします（xabbuh）

  - バグ#32516[FrameworkBundle][Config]リフレクションクラスの自動ロード中にスローされる例外を無視します（fancyweb）

  - バグ#32981php 7.4用のテスト/コードを修正します（jderusse）

  - バグ#32992[ProxyManagerBridge]未維持バージョン用のPolyfill（jderusse）

  - バグ#32933[PhpUnitBridge]PHPUnit 8.3のcompatibility: メソッドのhandleErrorの名前が
    __invokeに変更されることを修正しました（karser）

  - バグ#32947[Intl]IntlDateFormatter: : formatでDateTimeInterfaceをサポートします（pierredup）

  - バグ#32838[FrameworkBundle]ルーティングの際に間接的なenv変数を検出します（ro0NL）

  - バグ#32918[Intl]alpha2からalpha3へのマッピングを順序付けします（ro0NL）

  - バグ#32902[PhpUnitBridge]sutFqcnResolverが配列を返すことを許可します（VincentLanglet）

  - バグ#32682[HttpFoundation]getClientIp @return docblockを元に戻します（ossinkin）

  - バグ#32910[Yaml]PHP-8: Uncaught TypeError: abs()は、選択した文字列のパラメーター1がintまたはfloatであることを期待します（Aleksandr Dankovtsev氏）

  - バグ #32870 #32853$this->parametersが配列であるかをチェックします。
    （ABGEO07）

  - バグ#32868[PhpUnitBridge]symfony/phpunit-bridge > 4.2をphpunit 4.8でインストールできるようにします（jderusse）

  - バグ#32767[Yaml]複数行の値のコメントを修正します（soufianZantar）

  - バグ#32790[HttpFoundation]「getMaxFilesize」を修正します（bennybor）

  - バグ#32796[Cache]PHP 7.4の警告を修正します （jpauli）

  - バグ#32806[Console]PHP 7.4の警告を修正します（rez1dent3）

  - バグ#32809コンテナメタデータキャッシュの署名で静的プロパティのobject-valueが追加されません（arjenm）

  - バグ#30096[DI]Doctrineのようなサービスグラフのダンプを修正します（bis）（weaverryan、nicolas-grekas）

  - バグ#32799[HttpKernel]プロファイラーが無効の際にセクションを停止しません（Tobion）

----

**パッケージの変更**

  - コンポーネントごとに1つの異なるオートローダー。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Symfony PHPフレームワークに複数の脆弱性が見つかりました。これらの脆弱性により、タイミング攻撃/情報漏えい、引数インジェクション、シリアル化解除によるコード実行が引き起こされる可能性があります。

Symfony PHPフレームワークに複数の脆弱性が見つかりました。これらの脆弱性により、タイミング攻撃/情報漏えい、引数インジェクション、シリアル化解除によるコード実行が引き起こされる可能性があります。Debian 8「Jessie」では、これらの問題はバージョン2.3.21+dfsg-4+deb8u6で修正されました。symfonyパッケージをアップグレードすることをお勧めします。注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせず、できる限り自動的に整理して書式を整えるようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
257575	Linux Distros のパッチ未適用の脆弱性: CVE-2019-18888	Nessus	Misc.	2025/8/27	2025/8/27	high
131198	Fedora 31：php-symfony（2019-5ae4fd9203）	Nessus	Fedora Local Security Checks	2019/11/22	2024/4/10	high
131202	Fedora 31：php-symfony3（2019-8b0ba02338）	Nessus	Fedora Local Security Checks	2019/11/22	2024/4/10	critical
131141	Debian DSA-4573-1：symfony - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/11/20	2024/4/11	critical
131204	Fedora 30：php-symfony（2019-9c2ad3b018）	Nessus	Fedora Local Security Checks	2019/11/22	2024/4/10	high
131138	Debian DLA-1999-1：symfonyセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/11/20	2024/4/11	high

検出

プラグインの検索

high

high

critical

critical

high

high