CVE-2021-3007: Laminas Project laminas-http 2.14.2 以前、および Zend Framework 3.0.0 には、コンテンツが制御可能な場合にリモートコード実行につながる可能性がある逆シリアル化の脆弱性が存在します。これは、Stream.php 内の... | Kitploit

CVE-2021-3007

重大公開済み

Laminas Project laminas-http 2.14.2 以前、および Zend Framework 3.0.0 には、コンテンツが制御可能な場合にリモートコード実行につながる可能性がある逆シリアル化の脆弱性が存在します。これは、Stream.php 内の...

公開済み: 2021/01/04
更新済み: 2024/08/03
CNA の割り当て: mitre
観察された証拠: 2026/08/08

プライマリ CVSS

9.8/ 10重大

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

EPSS 確率推定

75.3%

高 · 今後 30 日間

パーセンタイル: 99.5%
モデルの日付: 2026/09/21

EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。

概要

Laminas Project laminas-http 2.14.2 以前、および Zend Framework 3.0.0 には、コンテンツが制御可能な場合にリモートコード実行につながる可能性がある逆シリアル化の脆弱性が存在します。これは、Stream.php 内の Zend\Http\Response\Stream クラスの __destruct メソッドに関連しています。注記: Zend Framework はメンテナによるサポートが終了しています。注記: laminas-http のベンダーはこれを「PHP 言語自体の脆弱性」と見なしていますが、攻撃者が供給したデータが逆シリアル化される可能性がある（推奨されない）ユースケースでの悪用を防ぐために、特定の型チェックを追加しています。

ソース

cve-2021-3007-vulnerablePoC
CVE-2021-3007 脆弱性テスト環境 - Laminas/Zend Framework デシリアライゼーション RCE
CVE-2021-3007-docker-pocPoC
CVE-2021-3007（Laminas/Zend HTTPデシリアライゼーションRCE）の再現可能な概念実証。スタンドアロンのエクスプロイトスクリプト、Nucleiテンプレート、および認可されたセキュリティテスト用のDockerベースの脆弱な環境が含まれます。
ZF3_CVE-2021-3007PoC
ZendFramework_CVE-2021-3007 PoC

責任ある使用

脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイトコードや悪意のあるペイロードは保存しません。