PT-2024-40370 · Unknown · Zend Framework
Publicado
2024-06-07
·
Atualizado
2024-06-07
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões do Zend Framework anteriores à versão corrigida
Descrição
O problema diz respeito à geração de desafios CAPTCHA. Especificamente, os componentes
Zend Captcha Word (v1) e ZendCaptchaWord (v2) utilizam a função interna do PHP array rand() para selecionar uma sequência de letras aleatórias, o que não fornece entropia suficiente devido à sua dependência de rand() em vez de métodos mais seguros, como openssl pseudo random bytes(). Isso poderia potencialmente levar à divulgação de informações se um invasor conseguisse usar força bruta para quebrar a geração de números aleatórios.Recomendações
Para versões anteriores à versão corrigida, considere usar um método criptograficamente mais seguro para gerar números aleatórios, como
openssl pseudo random bytes(), para substituir a função array rand() nos componentes Zend Captcha Word e ZendCaptchaWord.No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Zend Framework