PT-2024-40527 · Zend · Zendhttpphpenvironmentremoteaddress

Publicado 2024-06-07 · Atualizado 2024-06-07

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas:

ZendHttpPhpEnvironmentRemoteAddress, versões anteriores à 2.2.5

Descrição:

O problema diz respeito à detecção do endereço de protocolo de internet (IP) para uma solicitação de proxy recebida por meio do cabeçalho X-Forwarded-For. A classe não considerou adequadamente se o endereço IP em $ SERVER[‘REMOTE ADDR’] do PHP estava na lista de IPs de servidores proxy confiáveis. De acordo com a especificação preliminar da IETF, se $ SERVER[‘REMOTE ADDR’] não for um proxy confiável, ele deve ser considerado o endereço IP de origem, e o valor de X-Forwarded-For deve ser desconsiderado.

Recomendações:

Para versões anteriores à 2.2.5, atualize para a versão 2.2.5 ou posterior para resolver o problema.

Correção

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

GHSA-XFFP-6W68-4775

Produtos afetados

Zendhttpphpenvironmentremoteaddress

Referências · 5

• https://github.com/zendframework/zendframework/commit/bb6784461d3b23ef1db4be8cf47957ccc3b681ed · Nota
• https://github.com/zendframework/zendframework · Nota
• https://github.com/FriendsOfPHP/security-advisories/blob/master/zendframework/zendframework/ZF2013-04.yaml · Nota
• https://framework.zend.com/security/advisory/ZF2013-04 · Nota
• https://osv.dev/vulnerability/GHSA-xffp-6w68-4775 · Aviso do Fabricante