CVE-2020-29312
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 66 - wyżej niż 66% wszystkich znanych CVE
Streszczenie
W Zend Framework w wersji 3.1.3 i wcześniejszych stwierdzono podatność umożliwiającą zdalnemu atakującemu wykonanie dowolnego kodu za pomocą funkcji unserialize. Należy jednak zaznaczyć, że opis ten został zakwestionowany przez osoby trzecie jako niekompletny i nieprawidłowy, a framework nie posiada wersji wykraczającej poza 2.x.x i został wycofany na początku 2020 roku.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości zdalnego wykonania kodu przez atakującego, co może prowadzić do przejęcia kontroli nad systemem, kradzieży danych lub zakłócenia działania aplikacji. Podatność jest jednak kwestionowana, co może oznaczać, że rzeczywiste ryzyko jest niższe lub niepotwierdzone.
Rekomendacja
Zaleca się natychmiastową aktualizację Zend Framework do najnowszej dostępnej wersji lub migrację do aktywnie wspieranego frameworka, takiego jak Laminas. Należy również unikać deserializacji niezaufanych danych i stosować bezpieczne alternatywy.
Oryginalny opis (angielski, źródło NVD)
An issue found in Zend Framework v.3.1.3 and before allow a remote attacker to execute arbitrary code via the unserialize function. Note: This has been disputed by third parties as incomplete and incorrect. The framework does not have a version that surpasses 2.x.x and was deprecated in early 2020.