vendor/zendframework/zendframework/README.md

   1 ![Logo](https://raw.githubusercontent.com/zendframework/zf2/234b554f2ca202095aea32e4fa557553f8849664/resources/ZendFramework-logo.png)
   2
   3 # Welcome to the *Zend Framework 2.4* Release!
   4
   5 Master:
   6 [![Build Status](https://secure.travis-ci.org/zendframework/zf2.svg?branch=master)](http://travis-ci.org/zendframework/zf2)
   7 [![Coverage Status](https://coveralls.io/repos/zendframework/zf2/badge.svg?branch=master)](https://coveralls.io/r/zendframework/zf2)
   8 Develop:
   9 [![Build Status](https://secure.travis-ci.org/zendframework/zf2.svg?branch=develop)](http://travis-ci.org/zendframework/zf2)
  10 [![Coverage Status](https://coveralls.io/repos/zendframework/zf2/badge.svg?branch=develop)](https://coveralls.io/r/zendframework/zf2)
  11
  12 ## RELEASE INFORMATION
  13
  14 *Zend Framework 2.4.9*
  15
  16 This is a maintenance release in the version 2.4 series.
  17
  18 23 November 2015
  19
  20 ### UPDATES IN 2.4.9
  21
  22 This release contains the following security fixes:
  23
  24 - **ZF2015-09**: `Zend\Captcha\Word` generates a "word" for a CAPTCHA challenge
  25   by selecting a sequence of random letters from a character set. Prior to this
  26   vulnerability announcement, the selection was performed using PHP's internal
  27   `array_rand()` function. This function does not generate sufficient entropy
  28   due to its usage of `rand()` instead of more cryptographically secure methods
  29   such as `openssl_pseudo_random_bytes()`. This could potentially lead to
  30   information disclosure should an attacker be able to brute force the random
  31   number generation. This release contains a patch that replaces the
  32   `array_rand()` calls to use `Zend\Math\Rand::getInteger()`, which provides
  33   better RNG.
  34 - **ZF2015-10**: `Zend\Crypt\PublicKey\Rsa\PublicKey` has a call to `openssl_public_encrypt()`
  35   which used PHP's default `$padding` argument, which specifies
  36   `OPENSSL_PKCS1_PADDING`, indicating usage of PKCS1v1.5 padding. This padding
  37   has a known vulnerability, the
  38   [Bleichenbacher's chosen-ciphertext attack](http://crypto.stackexchange.com/questions/12688/can-you-explain-bleichenbachers-cca-attack-on-pkcs1-v1-5),
  39   which can be used to recover an RSA private key. This release contains a patch
  40   that changes the padding argument to use `OPENSSL_PKCS1_OAEP_PADDING`.
  41
  42   Users upgrading to this version may have issues decrypting previously stored
  43   values, due to the change in padding. If this occurs, you can pass the
  44   constant `OPENSSL_PKCS1_PADDING` to a new `$padding` argument in
  45   `Zend\Crypt\PublicKey\Rsa::encrypt()` and `decrypt()` (though typically this
  46   should only apply to the latter):
  47
  48   ```php
  49   $decrypted = $rsa->decrypt($data, $key, $mode, OPENSSL_PKCS1_PADDING);
  50   ```
  51
  52   where `$rsa` is an instance of `Zend\Crypt\PublicKey\Rsa`.
  53
  54   (The `$key` and `$mode` argument defaults are `null` and
  55   `Zend\Crypt\PublicKey\Rsa::MODE_AUTO`, if you were not using them previously.)
  56
  57   We recommend re-encrypting any such values using the new defaults.
  58
  59 Please see [CHANGELOG.md](CHANGELOG.md).
  60
  61 ### SYSTEM REQUIREMENTS
  62
  63 Zend Framework 2 requires PHP 5.3.23 or later; we recommend using the
  64 latest PHP version whenever possible.
  65
  66 ### INSTALLATION
  67
  68 Please see [INSTALL.md](INSTALL.md).
  69
  70 ### CONTRIBUTING
  71
  72 If you wish to contribute to Zend Framework, please read both the
  73 [CONTRIBUTING.md](CONTRIBUTING.md) and [README-GIT.md](README-GIT.md) file.
  74
  75 ### QUESTIONS AND FEEDBACK
  76
  77 Online documentation can be found at http://framework.zend.com/manual.
  78 Questions that are not addressed in the manual should be directed to the
  79 appropriate mailing list:
  80
  81 http://framework.zend.com/archives/subscribe/
  82
  83 If you find code in this release behaving in an unexpected manner or
  84 contrary to its documented behavior, please create an issue in our GitHub
  85 issue tracker:
  86
  87 https://github.com/zendframework/zf2/issues
  88
  89 If you would like to be notified of new releases, you can subscribe to
  90 the fw-announce mailing list by sending a blank message to
  91 <fw-announce-subscribe@lists.zend.com>.
  92
  93 ## Reporting Potential Security Issues
  94
  95 If you have encountered a potential security vulnerability in Zend Framework, please report it to us at [zf-security@zend.com](mailto:zf-security@zend.com). We will work with you to verify the vulnerability and patch it.
  96
  97 When reporting issues, please provide the following information:
  98
  99 - Component(s) affected
 100 - A description indicating how to reproduce the issue
 101 - A summary of the security vulnerability and impact
 102
 103 We request that you contact us via the email address above and give the project contributors a chance to resolve the vulnerability and issue a new release prior to any public exposure; this helps protect Zend Framework users and provides them with a chance to upgrade and/or update in order to protect their applications.
 104
 105 For sensitive email communications, please use [our PGP key](http://framework.zend.com/zf-security-pgp-key.asc).
 106
 107 ### LICENSE
 108
 109 The files in this archive are released under the Zend Framework license.
 110 You can find a copy of this license in [LICENSE.txt](LICENSE.txt).
 111
 112 ### ACKNOWLEDGEMENTS
 113
 114 The Zend Framework team would like to thank all the [contributors](https://github.com/zendframework/zf2/contributors) to the Zend
 115 Framework project, our corporate sponsor, and you, the Zend Framework user.
 116 Please visit us sometime soon at http://framework.zend.com.