2.0.2 之前的 ZendOpenId 中 Consumer 组件中的 GenericConsumer 类和 1.12.4 之前的 Zend Framework 1 中的 Zend_OpenId_Consumer 类通过仅确保签发至少一个字段来违反 OpenID 2.0 协议，这允许远程攻击者通过利用来自 OpenID 提供程序的断言绕过认证。

在 Zend Framework 中发现 XML 外部实体 (XXE) 和 XML 实体扩展 (XEE) 缺陷。攻击者可利用这些缺陷造成拒绝服务、访问服务器进程可访问的文件，或者可能执行其他更高级 XML 外部实体 (XXE) 攻击。

使用 ZendOpenId（或 ZF1 中的 Zend_OpenId）的 Consumer 组件，可通过恶意 OpenID 提供程序使用任意 OpenID 帐户进行登录（无需了解任何机密信息）。
这表示 OpenID 可使用任意 OpenID 身份（MyOpenID、Google 等）登录，不受我们 OpenID 提供程序的控制。因此，我们能够根据框架冒充任何 OpenID 身份。

此外，Consumer 接受具有任意签发元素的 OpenID 标记。例如，该框架不会检查是否同时签发了 openid.claimed_id 和 openid.endpoint_url。签发一个参数就已足够。根据 https://openid.net/specs/openid-authentication-2_0.html#positive_asser tions，至少必须签发 op_endpoint、return_to、response_nonce、assoc_handle 以及（如果响应中存在）claimed_id 和 identity。

检测

Amazon Linux AMI：php-ZendFramework (ALAS-2014-377)

high Nessus 插件 ID 78320

未找到变更日志