PT-2024-40024 · Unknown · Zend Framework
Publicado
2024-06-07
·
Atualizado
2024-06-07
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões do Zend Framework anteriores à versão corrigida
Descrição
O problema está relacionado à geração de desafios CAPTCHA. Especificamente, os componentes
Zend Captcha Word (v1) e ZendCaptchaWord (v2) utilizam a função array rand() interna do PHP para selecionar uma sequência de letras aleatórias, o que não fornece entropia suficiente devido à sua dependência de rand() em vez de métodos mais seguros, como openssl pseudo random bytes(). Isso poderia potencialmente levar à divulgação de informações se um invasor conseguisse usar força bruta para quebrar a geração de números aleatórios.Recomendações
Para versões anteriores à versão corrigida, considere usar um método criptograficamente mais seguro para gerar números aleatórios, como
openssl pseudo random bytes(), para substituir a função array rand() nos componentes Zend Captcha Word e ZendCaptchaWord.No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Zend Framework