Debian DSA-3265-1:zendframework - セキュリティ更新

critical Nessus プラグイン ID 83748

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

PHP フレームワークである Zend Framework に複数の脆弱性が発見されました。CVE-2015-3154 を除いて、これらの問題はすべて、Jessie とともに初めに出荷されたバージョンですでに修正されています。

- CVE-2014-2681 Lukas Reschke 氏は、XML 外部エンティティインジェクション攻撃に対する保護が一部の機能にないことを、報告しました。
これは、CVE-2012-5657 の不完全な内容を拡張します。

- CVE-2014-2682 Lukas Reschke 氏は、libxml_disable_entity_loader 設定が PHP-FPM のケースで複数のスレッドで共有されることが、考慮されていないことを報告しました。これは、CVE-2012-5657 の不完全な内容を拡張します。

- CVE-2014-2683 Lukas Reschke 氏は、XML エンティティ拡張攻撃に対する保護が一部の機能にないことを、報告しました。これは、CVE-2012-6532 の不完全な内容を拡張します。

- CVE-2014-2684 Ruhr 大学 Bochum 分校の Christian Mainka 氏と Vladislav Mladenov 氏は、消費者が検証する方法にエラーがあり、これによって不適切なソースのトークンが受け入れられることを、報告しました。

- CVE-2014-2685 Ruhr 大学 Bochum 分校の Christian Mainka 氏と Vladislav Mladenov 氏は、仕様の違反があり、単一のパラメーターの署名が誤って充分であると見なされることを報告しました。

- CVE-2014-4914 Cassiano Dal Pizzol 氏は、渡されるクエリ文字列に括弧が含まれている場合に、Zend_Db_Select の ORDER BY SQL ステートメントの実装に、SQL 注入の可能性が含まれることを、見つけました。

- CVE-2014-8088 Positive Research Center の Yury Dyachenko 氏は、PHP の DOM 拡張の安全でない使用による、XML 外部エンティティインジェクションベクトルの可能性を、特定しました。

- CVE-2014-8089 Jonas Sandström 氏は、null バイトを使用した、sqlsrv 拡張の値を手動で引用するときの SQL インジェクションベクトルを、見つけました。

- CVE-2015-3154 Filippo Tessarotto 氏と Maks3w は、メールおよび HTTP ヘッダーでの CRLF インジェクション攻撃の可能性を、報告しました。

ソリューション

zendframework パッケージをアップグレードしてください。

旧安定版(oldstable)ディストリビューション (wheezy) では、これらの問題は、バージョン 1.11.13-1.1+deb7u1.で修正済みです。

安定版(stable)ディストリビューション(jessie)では、これらの問題はバージョン 1.12.9+dfsg-2+deb8u1 で修正されています。

関連情報

https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=743175

https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=754201

https://security-tracker.debian.org/tracker/CVE-2015-3154

https://security-tracker.debian.org/tracker/CVE-2014-2681

https://security-tracker.debian.org/tracker/CVE-2012-5657

https://security-tracker.debian.org/tracker/CVE-2014-2682

https://security-tracker.debian.org/tracker/CVE-2012-5657

https://security-tracker.debian.org/tracker/CVE-2014-2683

https://security-tracker.debian.org/tracker/CVE-2012-6532

https://security-tracker.debian.org/tracker/CVE-2014-2684

https://security-tracker.debian.org/tracker/CVE-2014-2685

https://security-tracker.debian.org/tracker/CVE-2014-4914

https://security-tracker.debian.org/tracker/CVE-2014-8088

https://security-tracker.debian.org/tracker/CVE-2014-8089

https://security-tracker.debian.org/tracker/CVE-2015-3154

https://packages.debian.org/source/wheezy/zendframework

https://packages.debian.org/source/jessie/zendframework

https://www.debian.org/security/2015/dsa-3265

プラグインの詳細

深刻度: Critical

ID: 83748

ファイル名: debian_DSA-3265.nasl

バージョン: 2.10

タイプ: local

エージェント: unix

公開日: 2015/5/21

更新日: 2021/1/11

サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent

リスク情報

VPR

リスクファクター: Medium

スコア: 5.9

CVSS v2

リスクファクター: High

Base Score: 7.5

Temporal Score: 5.5

ベクトル: AV:N/AC:L/Au:N/C:P/I:P/A:P

現状ベクトル: E:U/RL:OF/RC:C

CVSS v3

リスクファクター: Critical

Base Score: 9.8

Temporal Score: 8.5

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

現状ベクトル: E:U/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:debian:debian_linux:zendframework, cpe:/o:debian:debian_linux:7.0, cpe:/o:debian:debian_linux:8.0

必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2015/5/20

参照情報

CVE: CVE-2014-2681, CVE-2014-2682, CVE-2014-2683, CVE-2014-2684, CVE-2014-2685, CVE-2014-4914, CVE-2014-8088, CVE-2014-8089, CVE-2015-3154

BID: 66358, 68031, 70011, 70378, 74561

DSA: 3265