PT-2021-6559 · Pear · Pear Php Classes Library

Publicado 2021-07-30 · Atualizado 2021-07-30

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.2

Alta

Vetor base

AV:L/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Biblioteca de classes PEAR PHP (versões afetadas não especificadas)

Descrição

O problema está relacionado à implementação das funções mt rand() e time() no pacote pearweb da biblioteca de classes PEAR PHP. Envolve o uso do algoritmo de criptografia MD5, considerado insuficientemente seguro. A exploração desse problema poderia permitir que um invasor obtivesse acesso não autorizado a informações protegidas ou executasse código arbitrário.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Information Disclosure

Use of a Broken Cryptographic Algorithm

Enumeração de Fraquezas

CWE-200

CWE-327

Identificadores relacionados

BDU:2022-01824

Produtos afetados

Pear Php Classes Library

Referências · 7

• https://github.com/pear/pearweb/commit/69f9531c2aca8866303b8b9efdd72365b6996f81 · Nota
• https://github.com/pear/pearweb/commit/09760456120f12488890d430ba183461d937b440 · Nota
• https://github.com/pear/pearweb/commit/f3333c2bd8cbe01a7a64772a6160601bca21ad84 · Nota
• https://blog.sonarsource.com/php-supply-chain-attack-on-pear · Nota
• https://pear.php.net/package/pearweb/download · Nota
• https://xakep.ru/2022/04/04/pear-php-bugs · Nota
• https://bdu.fstec.ru/vul/2022-01824 · Nota de Segurança