Iniciar sesión
Deutsch English Español Polski
Alta

ZendFramework1 Potential Insufficient Entropy Vulnerability

  • Publicada: 07.06.2024
  • Actualizado: 11.10.2026 10:22

We discovered several methods used to generate random numbers in ZF1 that potentially used insufficient entropy. These random number generators are used in the following method calls:

Zend_Ldap_Attribute::createPassword
Zend_Form_Element_Hash::_generateHash
Zend_Gdata_HttpClient::filterHttpRequest
Zend_Filter_Encrypt_Mcrypt::_srand
Zend_OpenId::randomBytes

In each case, the methods were using rand() or mt_rand(), neither of which can generate cryptographically secure values. This could potentially lead to information disclosure should an attacker be able to brute force the random number generation.

Moreover, we discovered a potential security issue in the usage of the openssl_random_pseudo_bytes() function in Zend_Crypt_Math::randBytes, reported in PHP BUG #70014, and the security implications reported in a discussion on the random_compat library.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de Composer zendframework/zendframework1 >= 1.12.0, < 1.12.18 1.12.18

Referencias

Puntuación CVSS 7.5/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Debilidad (CWE)
CWE-331
Plataforma
Composer
Paquete
zendframework/zendframework1
Publicada
07.06.2024
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-8xhv-gqm4-3w99 - CC BY 4.0

Historial de vulnerabilidades: zendframework/zendframework1

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (34) en el archivo
Entradas en total
34
Primera → última
05.2022 06.2024
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Crítica 8
  • Alta 9
  • Media 17

Divulgaciones por año

Gravedad:
  1. Zendframework1 Potential SQL injection in ORDER and GROUP functions
    Crítica · 9.8 ghsa-6fqw-j3vm-7f66 < 1.12.20 1.12.20
  2. Zendframework Potential Information Disclosure and Insufficient Entropy vulnerability
    Alta · 7.5 ghsa-848f-mph5-9pm9 >= 1.12.0, < 1.12.17 1.12.17
  3. ZendFramework1 Potential Insufficient Entropy Vulnerability esta entrada
    Alta · 7.5 ghsa-8xhv-gqm4-3w99 >= 1.12.0, < 1.12.18 1.12.18
  4. Zendframework1 potential SQL injection vector using null byte for PDO (MsSql, SQLite)
    Crítica · 9.8 ghsa-v42g-7q2x-cw32 >= 1.12.0, < 1.12.16 1.12.16
  5. ZendFramework1 Potential SQL injection in the ORDER implementation of Zend_Db_Select
    Crítica · 9.8 ghsa-2x36-qhx3-7m5f >= 1.12.0, < 1.12.7 1.12.7
  6. Zendframework potential security issue in login mechanism
    Alta · 7.5 ghsa-9v78-h226-2rmq >= 1.12.0, < 1.12.4 1.12.4
  7. Zendframework Local file disclosure via XXE injection in Zend_XmlRpc
    Alta · 8.6 ghsa-229x-22xc-2f2w >= 1.0.0, < 1.11.13 1.11.13
  8. Zendframework Denial of Service vector via XEE injection
    Alta · 7.5 ghsa-2jx7-xg83-j2m7 >= 1.0.0, < 1.11.13 1.11.13
  9. ZendFramework potential XML eXternal Entity injection vectors
    Crítica · 9.8 ghsa-mhpx-3rv8-wrjm >= 1.12.0, < 1.12.4 1.12.4
  10. ZendFramework potential XML eXternal Entity injection vectors
    Alta · 7.5 ghsa-4j9x-g4x8-vcmf >= 1.11.0, < 1.11.15, >= 1.12.0, < 1.12.1 1.11.15, 1.12.1
  11. ZendFramework potential SQL Injection Vector When Using PDO_MySql
    Crítica · 9.8 ghsa-qf36-fx9f-232x >= 1.10.0, < 1.10.9, >= 1.11.0, < 1.11.6 1.10.9, 1.11.6
  12. ZendFramework local file inclusion vector in `Zend_View::setScriptPath()` and `render()`
    Alta · 7.5 ghsa-hx3m-959f-v849 >= 1.7.0, < 1.7.5 1.7.5
  13. Zend Framework SQL injection vulnerability
    Crítica · 9.8 CVE-2014-8089 >= 1.12.0, < 1.12.9 1.12.9
  14. Zend Framework XXE Vulnerability
    Alta · 7.3 CVE-2012-3363 >= 1.0.0, < 1.11.12, >= 1.12.0-rc1, < 1.12.0 1.11.12, 1.12.0
  15. Doctrine Security Misconfiguration Vulnerability
    Alta · 7.8 CVE-2015-5723 >= 1.12.0, < 1.12.16 1.12.16
  16. Zend Framework SQL injection vector using null byte for PDO
    Crítica · 9.8 CVE-2015-7695 < 1.12.16 1.12.16
  17. Zend Framework Allows SQL Injection
    Crítica · 9.8 CVE-2016-6233 < 1.12.19 1.12.19

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.