CVE-2016-4423:会话中存储大用户名

影响版本

ob娱乐下载安全组件的Symfony 2.3.0到2.3.40、2.7.0到2.7.12、2.8.0到2.8.5以及3.0.0到3.0.5版本在使用用户名/密码形式身份验证侦听器(及其更简单的版本)时受到此安全问题的影响SimpleFormAuthenticationListener）.

此问题已在Symfony 2.3.41、2.7.13、2.ob娱乐下载8.6和3.0.6中修复。

注意，没有为Symfony 2.4、2.5和2.6提供修复，因为它们不再ob娱乐下载被维护。

描述

当用户提交身份验证表单时，如果用户不存在，则提交的用户名存储在会话中。如果攻击者提交多个具有大用户名的请求，他可能会填满会话存储。

决议

修复包括限制表单接受的用户名的大小。为了避免任何BC中断，限制被设置为4096个字符，这对于正常用法来说应该已经足够了。

针对此问题的补丁已经可用在这里．

学分

我要感谢Marek AlaksaCitadelo报告此安全问题。感谢Fabien Potencier为各种Symfony版本编写的修复。ob娱乐下载