แจ้งเตือนช่องโหว่ Deserialization ใน Zend Framework ทำ Remote Code Execution ได้

นักวิจัยด้านความปลอดภัย Ling Yizhou ได้เปิดเผยช่องโหว่ใน Zend Framework 3.0.0 โดยช่องโหว่ดังกล่าวจะทำให้ผู้ประสงค์ร้ายสามารถทำการโจมตีแบบ Remote Code Execution (RCE) ได้จากปัญหาของการ Deserialization ช่องโหว่นี้ถูกติดตามด้วยรหัส CVE-2021-3007

ช่องโหว่ CVE-2021-3007 มีที่มาจากกระบวนการ Deserialization ที่อาจนำไปสู่การเรียกใช้โค้ดจากระยะไกลหากผู้โจมตีสามารถเข้าถึงและควบคุม Content ที่เกี่ยวข้องกับเมธอด__destruct ของคลาส Zend\Http\Response\StreamในStream.