Wysoki Odebrany

CVE-2026-118513

opublikowano: 04.11.2026, 14:17

modyfikacja: 04.11.2026, 14:17

Ocena CVSS

7.7

Wysoki · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Ominięcie uwierzytelniania poprzez fałszowanie w X509Authenticator i X509AuthenticationListener wersji Symfony wcześniejszych niż 5.4.56, 6.x wcześniejszych niż 6.4.50, 7.x wcześniejszych niż 7.4.23 i 8.x wcześniejszych niż 8.1.11 umożliwia atakującemu posiadającemu certyfikat od zaufanego urzędu certyfikacji aplikacji, który może wpłynąć na CN , na uwierzytelnienie jako dowolnego użytkownika aplikacji, w tym uprzywilejowanego, po niekompletnej poprawce dla CVE-2026-45063.
X509Authenticator wyodrębnia identyfikator użytkownika z nazwy wyróżniającej podmiotu (nazwy wyróżniającej), którą serwer WWW przekazuje w $_SERVER['SSL_CLIENT_S_DN']. Poprawka CVE-2026-45063 zakotwiczyła tę ekstrakcję w granicy RDN (względna nazwa wyróżniająca), ale użyte wyrażenie regularne nie uwzględniało ucieczki. Wyrażenie działa w odniesieniu do już serializowanej nazwy wyróżniającej, więc nie może odróżnić separatora RDN od znaku separatora występującego wewnątrz wartości. Zgodnie z RFC 2253, używanym przez Apache i $ssl_client_s_dn w Nginx, przecinek wewnątrz wartości jest znakowany jako \, a wyrażenie niezależnie odczytuje go jako separator. RFC 2253 również nie traktuje / jako separatora, więc pozostawia go bez wartości wewnątrz wartości, podczas gdy wyrażenie traktuje każdy / jako jeden. Starszy format X509_NAME_oneline(), używany przez LegacyDNStringFormat Apache i $ssl_client_s_dn_legacy firmy Nginx, jest odbiciem lustrzanym: ucieka / as \/ i pozostawia nagi. W tym formacie certyfikat bez atrybutu emailAddress lub którego poprzedzający go zatruty CN jest uwierzytelniany jako przemycony adres.

Aby uwzględnić zarówno RFC 2253, jak i starszy format X509_NAME_oneline(), X509Authenticator i X509AuthenticationListener dzielą teraz nazwę wyróżniającą na nazwy RDN przed wyszukiwaniem atrybutu, zamiast dopasowywać atrybut do serializowanego ciągu znaków. Wybierają separator z serializacji, dzielą tylko na nieuniknione wystąpienia tego separatora, następnie usuwają zmianę znaczenia każdego RDN zgodnie z regułami jego formatu i wymagają, aby atrybut obejmował cały RDN. Przyjęta gramatyka wartości pozostaje niezmieniona.

Aplikacje przekazujące klucz użytkownika dla poszczególnych atrybutów (takie jak SSL_CLIENT_S_DN_Email) oraz wdrożenia, których urząd certyfikacji generuje lub weryfikuje temat, nie są dotknięte tą luką.

Authentication bypass by spoofing in X509Authenticator and X509AuthenticationListener of Symfony versions prior to 5.4.56, 6.x prior to 6.4.50, 7.x prior to 7.4.23, and 8.x prior to 8.1.11 allows an attacker holding a certificate from the application's trusted CA who can influence the CN to authenticate as an arbitrary user of the application, including a privileged one, following an incomplete fix for CVE-2026-45063.
X509Authenticator extracts the user identifier from the Subject DN (Distinguished Name) that the web server passes in $_SERVER['SSL_CLIENT_S_DN']. The fix for CVE-2026-45063 anchored that extraction to an RDN (Relative Distinguished Name) boundary, but the regular expression used was not escape-aware. The expression runs against an already serialized DN, so it cannot tell an RDN separator from a separator character that occurs inside a value. Under RFC 2253, used by Apache and by nginx's $ssl_client_s_dn, a comma inside a value is escaped as \, and the expression reads it as a separator regardless. RFC 2253 also does not treat / as a separator, so it leaves it bare inside a value, while the expression treats every / as one. The legacy X509_NAME_oneline() format, used by Apache's LegacyDNStringFormat and by nginx's $ssl_client_s_dn_legacy, is the mirror image: it escapes / as \/ and leaves , bare. In that format, a certificate with no emailAddress attribute, or whose poisoned CN precedes it, authenticates as the smuggled address.

To cover both RFC 2253 and the legacy X509_NAME_oneline() format, X509Authenticator and X509AuthenticationListener now split the DN into RDNs before looking for the attribute, instead of matching the attribute against the serialized string. They select the separator from the serialization, split on unescaped occurrences of that separator only, unescape each RDN afterwards with the rules of its format, and require the attribute to span a whole RDN. The accepted value grammar is unchanged.

Applications that pass a per-attribute user key (such as SSL_CLIENT_S_DN_Email) and deployments whose CA generates or validates the subject are not affected by this vulnerability.

>_ Słabości (CWE)

CWE-290

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve