OpenPNE 3

概要¶

symfony にて提供されているフォームフレームワークには、ファイルの送信をおこなう際のリクエストの検証に不備があり、特定の形式のパラメータを含むことで、 Web アプリケーションが設置されているサーバ上のファイル をアップロードすることができてしまうという問題があります。
この問題は symfony 1.4.20 にて修正され、パッチが用意されているのでパッチを当て修正を行う。

再現バージョン¶

OpenPNE 3.8.3 以下、 OpenPNE 3.6.6 以下、 OpenPNE 3.4.21 以下、 OpenPNE 3.2.7.6 以下、 OpenPNE 3.0.8.5 以下のすべてのバージョン

Way to fix (修正内容)¶

http://trac.symfony-project.org/changeset/33598?format=diff&new=33598
で取得できるパッチを当てる

関連情報¶

• 【緊急告知】すべてのバージョンの OpenPNE 3 における、サーバ上ファイル漏洩の脆弱性についての注意喚起 (OPSA-2012-002)
  • http://www.openpne.jp/archives/10705/