Amazon Linux AMI:php-ZendFramework (ALAS-2014-377)

high Nessus 插件 ID 78320

简介

远程 Amazon Linux AMI 主机缺少安全更新。

描述

2.0.2 之前的 ZendOpenId 中 Consumer 组件中的 GenericConsumer 类和 1.12.4 之前的 Zend Framework 1 中的 Zend_OpenId_Consumer 类通过仅确保签发至少一个字段来违反 OpenID 2.0 协议,这允许远程攻击者通过利用来自 OpenID 提供程序的断言绕过认证。

在 Zend Framework 中发现 XML 外部实体 (XXE) 和 XML 实体扩展 (XEE) 缺陷。攻击者可利用这些缺陷造成拒绝服务、访问服务器进程可访问的文件,或者可能执行其他更高级 XML 外部实体 (XXE) 攻击。

使用 ZendOpenId(或 ZF1 中的 Zend_OpenId)的 Consumer 组件,可通过恶意 OpenID 提供程序使用任意 OpenID 帐户进行登录(无需了解任何机密信息)。
这表示 OpenID 可使用任意 OpenID 身份(MyOpenID、Google 等)登录,不受我们 OpenID 提供程序的控制。因此,我们能够根据框架冒充任何 OpenID 身份。

此外,Consumer 接受具有任意签发元素的 OpenID 标记。例如,该框架不会检查是否同时签发了 openid.claimed_id 和 openid.endpoint_url。签发一个参数就已足够。根据 https://openid.net/specs/openid-authentication-2_0.html#positive_asser tions,至少必须签发 op_endpoint、return_to、response_nonce、assoc_handle 以及(如果响应中存在)claimed_id 和 identity。

解决方案

请运行“yum update php-ZendFramework”更新系统。

另见

http://www.nessus.org/u?acf9f182

https://alas.aws.amazon.com/ALAS-2014-377.html

插件详情

严重性: High

ID: 78320

文件名: ala_ALAS-2014-377.nasl

版本: 1.3

类型: local

代理: unix

发布时间: 2014/10/12

最近更新时间: 2018/4/18

支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 5.9

CVSS v2

风险因素: High

基本分数: 7.5

矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

漏洞信息

CPE: p-cpe:/a:amazon:linux:php-zendframework, p-cpe:/a:amazon:linux:php-zendframework-auth-adapter-ldap, p-cpe:/a:amazon:linux:php-zendframework-cache-backend-apc, p-cpe:/a:amazon:linux:php-zendframework-cache-backend-libmemcached, p-cpe:/a:amazon:linux:php-zendframework-cache-backend-memcached, p-cpe:/a:amazon:linux:php-zendframework-captcha, p-cpe:/a:amazon:linux:php-zendframework-db-adapter-mysqli, p-cpe:/a:amazon:linux:php-zendframework-db-adapter-pdo, p-cpe:/a:amazon:linux:php-zendframework-db-adapter-pdo-mssql, p-cpe:/a:amazon:linux:php-zendframework-db-adapter-pdo-mysql, p-cpe:/a:amazon:linux:php-zendframework-db-adapter-pdo-pgsql, p-cpe:/a:amazon:linux:php-zendframework-dojo, p-cpe:/a:amazon:linux:php-zendframework-feed, p-cpe:/a:amazon:linux:php-zendframework-ldap, p-cpe:/a:amazon:linux:php-zendframework-pdf, p-cpe:/a:amazon:linux:php-zendframework-search-lucene, p-cpe:/a:amazon:linux:php-zendframework-serializer-adapter-igbinary, p-cpe:/a:amazon:linux:php-zendframework-services, p-cpe:/a:amazon:linux:php-zendframework-soap, p-cpe:/a:amazon:linux:php-zendframework-demos, p-cpe:/a:amazon:linux:php-zendframework-extras, p-cpe:/a:amazon:linux:php-zendframework-full, cpe:/o:amazon:linux

必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

补丁发布日期: 2014/7/23

参考资料信息

CVE: CVE-2014-2681, CVE-2014-2682, CVE-2014-2683, CVE-2014-2684, CVE-2014-2685

ALAS: 2014-377