Symfony HttpFoundation: ReDoS in HeaderUtils::split() über Cache-Control-Header

Zusammenfassung

Die Symfony-Komponente HttpFoundation verarbeitet den Cache-Control-Request-Header mit HeaderUtils::split(). Eine gezielt aufgebaute Folge von Leerzeichen in diesem Header lässt den regulären Ausdruck exponentiell zurücklaufen, sodass eine einzelne, nicht authentifizierte Anfrage nahezu eine Sekunde CPU-Zeit verbraucht. Ab einer bestimmten Anzahl Leerzeichen gibt der Parser auf und verwirft alle Cache-Control-Direktiven stillschweigend. Der Header wird beim Aufbau jedes Request-Objekts verarbeitet, weshalb jede auf Symfony basierende Anwendung, die HTTP-Anfragen verarbeitet, erreichbar ist.

Betroffen

• symfony/http-foundation v4.1.0-BETA1 bis v5.4.53
• symfony/http-foundation v6.0.0-BETA1 bis v6.4.45
• symfony/http-foundation v7.0.0-BETA1 bis v7.4.18
• symfony/http-foundation v8.0.0-BETA1 bis v8.1.6
• Die unteren Grenzen unterscheiden sich je nach Quelle; prüfen Sie Ihre Lock-Datei gegen die Herstellerankündigung.

Behoben in

• 5.4.54
• 6.4.48 (6.4.46 und 6.4.47 enthalten eine Regression)
• 7.4.21 (7.4.19 und 7.4.20 enthalten eine Regression)
• 8.1.9 (8.1.7 und 8.1.8 enthalten eine Regression)

Umgehung

Unbekannt. Der Hersteller veröffentlicht keine Workaround-Massnahme; als Abhilfe wird das Einspielen des Updates genannt.

Ausnutzung

• Es wurden keine Berichte über aktive Ausnutzung gefunden; der CISA-KEV-Katalog wurde nicht direkt geprüft.
• Eine öffentliche Beschreibung erklärt Ursache und Auswirkung; ein öffentliches Exploit-Repository wurde nicht gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.

Unsere Empfehlung

• Aktualisieren Sie symfony/http-foundation auf 5.4.54, 6.4.48, 7.4.21 oder 8.1.9; stoppen Sie nicht bei 6.4.46, 7.4.19 oder 8.1.7.
• Führen Sie composer audit aus und prüfen Sie transitive Abhängigkeiten, zum Beispiel über Laravel oder Drupal.
• Falls das Patchen verzögert wird, filtern oder begrenzen Sie übergrosse Cache-Control-Header am Reverse Proxy oder WAF, nur als vorübergehende Massnahme.
• Überwachen Sie CPU-Auslastung und Antwortzeiten auf öffentlich erreichbaren PHP-Anwendungen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Symfony advisory blog symfony.com
• GitHub Security Advisory GHSA-r925-mgvr-h9cc github.com
• Symfony PR #66048 (initial fix) github.com
• Symfony PR #66491 (regression fix) github.com
• OSV GHSA-r925-mgvr-h9cc osv.dev
• Ubuntu security notice CVE-2026-108082 ubuntu.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:31.