## 2.8.1 - 2018-08-01

### 追加

  - なし。

### 変更済み

  - このリリースは、「Zend\Http\PhpEnvironment\Request」がリクエストURIをマーシャリングする方法を変更します。以前のリリースでは、値がある場合はそれを使用して、「X-Rewrite-Url」と「X-Original-Url」のヘッダーの検査を試みていました。これらのヘッダーは、IIS用のISAPI_Rewriteモジュール（HeliconTechにより開発）によって発行されます。ただし、モジュールがヘッダーを発行したものであることを保証する方法がないため、URIを発見するための信頼できないソースとなっています。このため、zend-httpのこのリリースで、この機能を削除しました。

    zend-mvcアプリケーションを開発している場合は、次のようなブートストラップリスナーを追加することで、機能を偽装できます：

``` public function onBootstrap(MvcEvent $mvcEvent) { $request = $mvcEvent->getRequest(); $requestUri = null;

$httpXRewriteUrl = $request->getHeader('X-Rewrite-Url'); if ($httpXRewriteUrl) { $requestUri = $httpXRewriteUrl->getFieldValue();
}

$httpXOriginalUrl = $request->getHeader('X-Original-Url');
if ($httpXOriginalUrl) { $requestUri = $httpXOriginalUrl->getFieldValue(); }

if ($requestUri) { $request->setUri($requestUri) } } ```

上記のようなリスナーを使用する場合、ISAPI_Rewriteモジュールによって発行されることを保証できるように、必ず同じ名前の受信ヘッダーを除去するようにWebサーバーにも指示してください。

### 廃止

  - なし。

### 削除済み

  - なし。

### 修正済み

  - なし。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Fedora 28：php-zendframework-zend-http（2018-71e9650fa9）

high Nessus プラグイン ID 120525

変更ログが見つかりません