PT-2024-40371 · Unknown · Zend Framework

Publicado 2024-06-07 · Atualizado 2024-06-07

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Zend Framework (versões afetadas não especificadas)

Descrição

O problema diz respeito à análise incorreta de cabeçalhos HTTP para informações de proxy em determinados componentes do Zend Framework. Especificamente, foram identificadas falhas nos componentes ZendSessionValidatorRemoteAddr e ZendViewHelperServerUrl. O componente ZendSessionValidatorRemoteAddr detecta incorretamente a URL do proxy quando um cliente está atrás de um servidor proxy, levando a resultados potencialmente inválidos. O componente ZendViewHelperServerUrl gera URLs com base no host do proxy sem considerar se isso é desejado, e também não leva em conta a porta ou o protocolo do proxy.

Recomendações

Para versões do Zend Framework que incluem os componentes vulneráveis ZendSessionValidatorRemoteAddr e ZendViewHelperServerUrl, considere o seguinte:

• Como solução temporária, restrinja o uso das classes ZendSessionValidatorRemoteAddr e ZendViewHelperServerUrl até que um patch esteja disponível.
• Evite usar o helper ZendViewHelperServerUrl para gerar URLs quando o servidor estiver atrás de um proxy, até que o problema seja resolvido.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Special Elements Injection

Enumeração de Fraquezas

CWE-74

Identificadores relacionados

GHSA-MG7H-9QFX-4R83

Produtos afetados

Zend Framework

Referências · 10

• https://github.com/zendframework/zendframework/commit/ad8fdc3378710b7cfbe2a271dbb0e3256cffb599 · Nota
• https://github.com/zendframework/zendframework/commit/1040acaf70d297ec7214934d8ddc3e811d249b5c · Nota
• https://github.com/zendframework/zendframework/commit/ada1fab92f6d5c7ad96c5a63f3196d925e3f5887 · Nota
• https://github.com/zendframework/zendframework/commit/c3819abbf2c9571069c893d27ae6170bda413925 · Nota
• https://github.com/zendframework/zendframework/commit/b914ecdd4d17ab5b61f15ccdc02a6e9b255b15d8 · Nota
• https://github.com/zendframework/zendframework/commit/cfaf5ea095c93f3e70343358a3a88c3924d7ed7d · Nota
• https://github.com/zendframework/zendframework · Nota
• https://github.com/FriendsOfPHP/security-advisories/blob/master/zendframework/zendframework/ZF2012-04.yaml · Nota
• https://osv.dev/vulnerability/GHSA-mg7h-9qfx-4r83 · Aviso do Fabricante
• https://framework.zend.com/security/advisory/ZF2012-04 · Nota