Debian DSA-3265-1：zendframework - セキュリティ更新

critical Nessus プラグイン ID 83748

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

PHP フレームワークである Zend Framework に複数の脆弱性が発見されました。CVE-2015-3154 を除いて、これらの問題はすべて、Jessie とともに初めに出荷されたバージョンですでに修正されています。

- CVE-2014-2681 Lukas Reschke 氏は、XML 外部エンティティインジェクション攻撃に対する保護が一部の機能にないことを、報告しました。
これは、CVE-2012-5657 の不完全な内容を拡張します。

- CVE-2014-2682 Lukas Reschke 氏は、libxml_disable_entity_loader 設定が PHP-FPM のケースで複数のスレッドで共有されることが、考慮されていないことを報告しました。これは、CVE-2012-5657 の不完全な内容を拡張します。

- CVE-2014-2683 Lukas Reschke 氏は、XML エンティティ拡張攻撃に対する保護が一部の機能にないことを、報告しました。これは、CVE-2012-6532 の不完全な内容を拡張します。

- CVE-2014-2684 Ruhr 大学 Bochum 分校の Christian Mainka 氏と Vladislav Mladenov 氏は、消費者が検証する方法にエラーがあり、これによって不適切なソースのトークンが受け入れられることを、報告しました。

- CVE-2014-2685 Ruhr 大学 Bochum 分校の Christian Mainka 氏と Vladislav Mladenov 氏は、仕様の違反があり、単一のパラメーターの署名が誤って充分であると見なされることを報告しました。

- CVE-2014-4914 Cassiano Dal Pizzol 氏は、渡されるクエリ文字列に括弧が含まれている場合に、Zend_Db_Select の ORDER BY SQL ステートメントの実装に、SQL 注入の可能性が含まれることを、見つけました。

- CVE-2014-8088 Positive Research Center の Yury Dyachenko 氏は、PHP の DOM 拡張の安全でない使用による、XML 外部エンティティインジェクションベクトルの可能性を、特定しました。

- CVE-2014-8089 Jonas Sandström 氏は、null バイトを使用した、sqlsrv 拡張の値を手動で引用するときの SQL インジェクションベクトルを、見つけました。

- CVE-2015-3154 Filippo Tessarotto 氏と Maks3w は、メールおよび HTTP ヘッダーでの CRLF インジェクション攻撃の可能性を、報告しました。

ソリューション

zendframework パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション (wheezy) では、これらの問題は、バージョン 1.11.13-1.1+deb7u1.で修正済みです。

安定版（stable）ディストリビューション（jessie）では、これらの問題はバージョン 1.12.9+dfsg-2+deb8u1 で修正されています。