CVE-2021-3007
Təsvir
Laminas Project laminas-http 2.14.2 versiyasından əvvəlki versiyaları və Zend Framework 3.0.0 versiyası, məzmun idarə oluna bildiyi təqdirdə uzaqdan kodun icrasına səbəb ola bilən deserializasiya zəifliyinə malikdir; bu, Stream.php faylındakı Zend\Http\Response\Stream sinfinin __destruct metodu ilə bağlıdır. QEYD: Zend Framework artıq dəstəklənmir. QEYD: laminas-http vendoru bunu "PHP dilinin özündə olan zəiflik" hesab edir, lakin hücumçu tərəfindən təmin edilən məlumatların deserializasiya oluna bildiyi (tövsiyə olunmayan) istifadə hallarında istismarın qarşısını almaq üçün müəyyən tip yoxlamaları əlavə etmişdir.
Necə düzəltmək olar
- getlaminas laminas-http2.14.2 və ya daha yeni versiya
- laminas/laminas-http2.14.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| getlaminas laminas-http | v < 2.14.2 | 2.14.2 |
| zend zend_framework | 3.0.0 | — |
| zendframework/zendframeworkPackagist | v ≤ 3.0.0 | — |
| laminas/laminas-httpPackagist | v < 2.14.2 | 2.14.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.