CVE-2020-29312
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 66 - wyżej niż 66% wszystkich znanych CVE
Streszczenie
W Zend Framework w wersji 3.1.3 i wcześniejszych stwierdzono podatność umożliwiającą zdalnemu atakującemu wykonanie dowolnego kodu za pomocą funkcji unserialize. Należy jednak zaznaczyć, że opis ten został zakwestionowany przez osoby trzecie jako niekompletny i nieprawidłowy, a framework nie posiada wersji wykraczającej poza 2.x.x i został wycofany na początku 2020 roku.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości zdalnego wykonania kodu przez atakującego, co może prowadzić do przejęcia kontroli nad systemem, kradzieży danych lub zakłócenia działania aplikacji. Podatność jest jednak kwestionowana, co może oznaczać, że rzeczywiste ryzyko jest niższe lub niepotwierdzone.
Rekomendacja
Zaleca się natychmiastową aktualizację Zend Framework do najnowszej dostępnej wersji lub migrację do aktywnie wspieranego frameworka, takiego jak Laminas. Należy również unikać deserializacji niezaufanych danych i stosować bezpieczne alternatywy.
Inne podatności w Zend Framework
Zobacz wszystkie- CVE-2014-4914Krytyczne
Funkcja Zend_Db_Select::order w Zend Framework przed wersją 1.12.7 nieprawidłowo obsługuje nawiasy, co umożliwia zdalnym atakującym przeprowadzenie ataków SQL injection za pomocą nieokreślonych wektorów.
- CVE-2015-1555Krytyczne
Zend/Session/SessionManager w Zend Framework 2.2.x przed wersją 2.2.9 oraz 2.3.x przed wersją 2.3.4 umożliwia zdalnym atakującym tworzenie ważnych sesji bez użycia walidatorów sesji.
- CVE-2016-6233Krytyczne
Metody (1) order i (2) group w Zend_Db_Select w Zend Framework przed wersją 1.12.19 mogą umożliwić zdalnym atakującym przeprowadzenie ataków typu SQL injection poprzez wykorzystanie wzorców znakowych [\w]* w wyrażeniach regularnych.
- CVE-2016-4861Krytyczne
Metody (1) order i (2) group w Zend_Db_Select w Zend Framework przed wersją 1.12.20 mogą umożliwić zdalnym atakującym przeprowadzenie ataków SQL injection z powodu braku usuwania komentarzy z zapytania SQL przed walidacją.
- CVE-2015-7695Krytyczne
Adaptery PDO w Zend Framework przed wersją 1.12.16 nie filtrują bajtów null w zapytaniach SQL, co pozwala zdalnym atakującym na wykonanie dowolnych poleceń SQL za pomocą spreparowanego zapytania.
Oryginalny opis (angielski, źródło NVD)
An issue found in Zend Framework v.3.1.3 and before allow a remote attacker to execute arbitrary code via the unserialize function. Note: This has been disputed by third parties as incomplete and incorrect. The framework does not have a version that surpasses 2.x.x and was deprecated in early 2020.