(1) 1.12.9 より前の Zend の Zend_Ldap クラスと (2) 2.2.8 より前の 2.x と 2.3.3 より前の 2.3.x の Zend の Zend\Ldap コンポーネントにより、リモートの攻撃者が、null バイトで始まるパスワードを通じて、認証をバイパスすることが可能です。これにより、認証されていない bind が発生します。（CVE-2014-8088）

Zend Framework の 1.12.9、2.2.8、および 2.3.3 リリースでは、sqlsrv PHP 拡張を使用したときの SQL インジェクションの問題を修正します。完全な詳細については、Upstream アドバイザリを参照してください。（CVE-2014-8089）

検出

Amazon Linux AMI：php-ZendFramework（ALAS-2014-460）

critical Nessus プラグイン ID 79874

変更ログが見つかりません