Zend Framework 1.7.5 release. Исправление потенциальной уязвимости.

Команда Zend Framework выпустила мини релиз 1.7.5, помимо всего прочего, закрывающий потенциальную уязвимость, типа "Local File Inclusion" в компоненте Zend_View.

Суть уязвимости состоит в следующем - в метод render() можно передать путь следующего вида "../../../../etc/passwd". В таком случае секретное содержимое может стать доступно злоумышленнику. Есстественно, это произойдет если вы допускаете передачу нефильтруемых пользовательских параметров в метод render()

 // Where $_GET['foobar'] = '../../../../etc/passwd'
 echo $view->render($_GET['foobar']); // LFI inclusion

Итак чтобы избежать подобной ситуации был введен новый параметр setLfiProtection запрещающий использование путей, содержащих переходы ('../' или '..\'). По умолчанию его значение равно true.

Изменить значение можно используя следующий код:

// At instantiation:
$view = new Zend_View(array(
    'lfiProtectionOn' => false,
));

// Programmatically, at any time:
$view->setLfiProtection(false);

Прочитать о уязвимости можно по ссылкам:

http://weierophinney.net/matthew/archives/206-Zend-Framework-1.7.5-Released-Important-Note-Regarding-Zend_View.html#extended

http://framework.zend.com/manual/en/zend.view.migration.html

Скачать последний релиз по ссылке.

P.S. Команда Zend планирует наладить выпуск штатных мини релизов каждые две недели.

В закладки: