CVE-2026-123119

Komponent Symfony HttpClient NoPrivateNetworkHttpClient nie przypina sprawdzanego adresu IP hostów w pamięci podręcznej, umożliwiając ponowne powiązanie DNS w celu ominięcia ograniczeń sieci prywatnej, co skutkuje wyliczeniem wewnętrznych hostów i portów w wersjach Symfony wcześniejszych niż 5.4.56, 6.x przed 6.4.50, 7.x przed 7.4.23 i 8.x przed 8.1.11.

NoPrivateNetworkHttpClient rozpoznaje hosta każdego żądania i sprawdza adres IP przed połączeniem. Buforuje wyniki na hosty i przekazuje adres IP udekorowanemu klientowi za pomocą opcji rozwiązywania, dzięki czemu klient łączy się z dokładnie sprawdzanym adresem IP. Problem polega na tym, że rozwiązanie zostało przekazane dopiero przy pierwszym wyszukiwaniu hosta: w przypadku kolejnych żądań udekorowany klient ponownie samodzielnie rozwiązał hosta.

Osoba atakująca kontrolująca DNS hosta może to wykorzystać, ponownie powiązując DNS, odpowiadając na pierwsze wyszukiwanie publicznym adresem IP, a na kolejne wyszukiwania prywatnym adresem IP, więc gdy aplikacja wysyła kilka żądań do tego hosta za pośrednictwem tego samego klienta, późniejsze żądania łączą się z prywatnym adresem IP. Dzieje się tak na przykład wtedy, gdy aplikacja pobiera kilka adresów URL repozytorium podanego przez użytkownika. Sprawdzenie primary_ip w wywołaniu zwrotnym on_progress w dalszym ciągu przerywa żądanie przed wysłaniem czegokolwiek, ale połączenie zostaje nawiązane, a błąd różni się w zależności od tego, czy port jest otwarty, czy zamknięty. Umożliwia to wyliczenie wewnętrznych hostów i portów, jak w CVE-2024-50342.