Symfony YAML: Unbegrenzte Rekursion im Inline-Lexer ermöglicht Denial of Service
Zusammenfassung
Die YAML-Komponente von Symfony (symfony/yaml) rekursiert beim Lexen von Inline-Collections ohne Verschachtelungsgrenze. Ein einzelnes präpariertes YAML-Dokument mit tief verschachtelten Klammern wie [[[[...]]]] kann den Stack erschöpfen und den PHP-Prozess zum Absturz bringen oder die Anfrage mit einem Fatal Error beenden. Betroffen ist jede Anwendung, die nicht vertrauenswürdiges YAML parst, einschliesslich Symfony-Endpunkte mit #[MapRequestPayload] ohne eingeschränktes acceptFormat; unter Umständen genügt eine einzige nicht authentifizierte Anfrage. Die Auswirkung beschränkt sich auf die Verfügbarkeit.
Betroffen
- symfony/yaml vor 5.4.54
- symfony/yaml 6.0.0-BETA1 bis vor 6.4.45
- symfony/yaml 7.0.0-BETA1 bis vor 7.4.18
- symfony/yaml 8.0.0-BETA1 bis vor 8.1.6
- Ältere Zweige (2.x bis 5.4.x) werden von einer Drittquelle als betroffen angegeben; der Hersteller nennt sie nicht ausdrücklich.
Behoben in
- 5.4.54
- 6.4.45
- 7.4.18
- 8.1.6
- Debian: 7.4.18+dfsg-1
- Ubuntu: Unbekannt.
- Nicht mehr unterstützte Zweige: Unbekannt.
Umgehung
- Keine Workaround-Massnahme des Herstellers identifiziert; die gepatchten Versionen einspielen.
- Falls ein Patch nicht sofort möglich ist, YAML-Eingaben an Endpunkten einschränken, die diese akzeptieren (zum Beispiel acceptFormat bei #[MapRequestPayload] so setzen, dass nur JSON akzeptiert wird).
- Die YAML-Komponente auf Produktivsystemen entfernen, wo sie nicht benötigt wird.
Ausnutzung
- Netzwerkerreichbar, laut Advisory ohne Authentifizierung und ohne Benutzerinteraktion.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden; nicht gegen CISA KEV geprüft.
Unsere Empfehlung
- Alle Projekte ermitteln, die symfony/yaml verwenden, einschliesslich transitiver und Dev-Abhängigkeiten (zum Beispiel mit composer audit).
- Auf 5.4.54, 6.4.45, 7.4.18 oder 8.1.6 oder neuer aktualisieren; das Upgrade von 8.0.x separat planen und die PHP-Versionsanforderungen prüfen.
- Internetseitige Anwendungen und Endpunkte, die YAML-Requestbodies akzeptieren, priorisieren.
- Auf öffentlichen Proof-of-Concept-Code und eine Aufnahme in CISA KEV achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-2v3c-qxhr-7vpv github.com
- Symfony blog: CVE-2026-109413 symfony.com
- Symfony fix pull request #65688 github.com
- symfony/yaml release v7.4.18 github.com
- Debian OSV entry DEBIAN-CVE-2026-109413 osv.dev
- Ubuntu security CVE-2026-109413 ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:30.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.