🇰🇷 한글 설명
Symfony Security Bundle의 Security::login 메소드를 통한 프로그래밍 방식 로그인 시 사용자 정의 user_checker가 실행되지 않아 보안 검증을 우회할 수 있습니다. 이로 인해 의도하지 않은 사용자가 로그인될 수 있습니다.
💡 쉬운 설명
Symfony 프로그램에서 특정 보안 검사를 건너뛰고 사용자가 로그인될 수 있다는 문제입니다. 보안 확인 없이도 로그인이 가능해질 수 있습니다.
🇺🇸 원문 (English)
symfony/security-bundle is a module for the Symphony PHP framework which provides a tight integration of the Security component into the Symfony full-stack framework. The custom `user_checker` defined on a firewall is not called when Login Programmaticaly with the `Security::login` method, leading to unwanted login. As of versions 6.4.10, 7.0.10 and 7.1.3 the `Security::login` method now ensure to call the configured `user_checker`. All users are advised to upgrade. There are no known workarounds for this vulnerability.
📍 영향받는 시스템
symfony/security-bundle 버전 6.4.10 미만, 7.0.10 미만, 7.1.3 미만
⚔️ 공격 벡터
애플리케이션에서 Security::login 메소드로 프로그래밍 방식 로그인을 수행할 때 user_checker 보안 검증이 실행되지 않음
🛡️ 대응 방법
symfony/security-bundle을 6.4.10, 7.0.10, 또는 7.1.3 이상으로 업그레이드
🔧 검증 코드
현재 설치된 symfony/security-bundle의 버전을 확인합니다. 패치 버전(6.4.10, 7.0.10, 7.1.3) 이상이면 안전합니다.
composer show symfony/security-bundle 2>/dev/null | grep -i 'version'