セキュリティリリース

- ZF2014-05 は、LDAP 認証のために提供されたパスワードの null バイトポイズニングを緩和し、権限のない LDAP バインドを防止します。これは、パッチされていない PHP のバージョンに対する修正を実行します（バージョン 5.5.11 以前、 5.4.27 以前、ならびにその他の以前のリリース）。

- ZF2014-06 は、sqlsrv 拡張に提供された SQL 引用値の null バイトポイズニングを緩和し、潜在的な SQL インジェクションベクターを防止します。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

2 つのセキュリティに関連したバグの修正が含まれています：

- 「ZF2014-05：null バイトを使用した、PHP の ldap_bind() 関数における匿名認証」（http://framework.zend.com/security/advisory/ZF2014-05）

- 「ZF2014-06：null バイトを使用した、sqlsrv 拡張に対する値を手動で引用したときの SQL インジェクションベクトル」（http://framework.zend.com/security/advisory/ZF2014-06）

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

(1) 1.12.9 より前の Zend の Zend_Ldap クラスと (2) 2.2.8 より前の 2.x と 2.3.3 より前の 2.3.x の Zend の Zend\Ldap コンポーネントにより、リモートの攻撃者が、null バイトで始まるパスワードを通じて、認証をバイパスすることが可能です。これにより、認証されていない bind が発生します。（CVE-2014-8088）

Zend Framework の 1.12.9、2.2.8、および 2.3.3 リリースでは、sqlsrv PHP 拡張を使用したときの SQL インジェクションの問題を修正します。完全な詳細については、Upstream アドバイザリを参照してください。（CVE-2014-8089）

PHP フレームワークである Zend Framework に複数の脆弱性が発見されました。CVE-2015-3154 を除いて、これらの問題はすべて、Jessie とともに初めに出荷されたバージョンですでに修正されています。

- CVE-2014-2681 Lukas Reschke 氏は、XML 外部エンティティインジェクション攻撃に対する保護が一部の機能にないことを、報告しました。
 これは、CVE-2012-5657 の不完全な内容を拡張します。

- CVE-2014-2682 Lukas Reschke 氏は、libxml_disable_entity_loader 設定が PHP-FPM のケースで複数のスレッドで共有されることが、考慮されていないことを報告しました。これは、CVE-2012-5657 の不完全な内容を拡張します。

- CVE-2014-2683 Lukas Reschke 氏は、XML エンティティ拡張攻撃に対する保護が一部の機能にないことを、報告しました。これは、CVE-2012-6532 の不完全な内容を拡張します。

- CVE-2014-2684 Ruhr 大学 Bochum 分校の Christian Mainka 氏と Vladislav Mladenov 氏は、消費者が検証する方法にエラーがあり、これによって不適切なソースのトークンが受け入れられることを、報告しました。

- CVE-2014-2685 Ruhr 大学 Bochum 分校の Christian Mainka 氏と Vladislav Mladenov 氏は、仕様の違反があり、単一のパラメーターの署名が誤って充分であると見なされることを報告しました。

- CVE-2014-4914 Cassiano Dal Pizzol 氏は、渡されるクエリ文字列に括弧が含まれている場合に、Zend_Db_Select の ORDER BY SQL ステートメントの実装に、SQL 注入の可能性が含まれることを、見つけました。

- CVE-2014-8088 Positive Research Center の Yury Dyachenko 氏は、PHP の DOM 拡張の安全でない使用による、XML 外部エンティティインジェクションベクトルの可能性を、特定しました。

- CVE-2014-8089 Jonas Sandström 氏は、null バイトを使用した、sqlsrv 拡張の値を手動で引用するときの SQL インジェクションベクトルを、見つけました。

- CVE-2015-3154 Filippo Tessarotto 氏と Maks3w は、メールおよび HTTP ヘッダーでの CRLF インジェクション攻撃の可能性を、報告しました。

# セキュリティ修正

- **ZF2014-05**：PHP の LDAP 拡張に存在した問題により、ユーザーが通常パスワードを必要とするかどうかにかかわらず、パスワードの null バイトを使用することで、LDAP サーバーに対して認証されていない単純なバインドを実行することが可能です。弊社は、パッチ未適用の PHP バージョン（PHP 5.5 <= 5.5.11、PHP 5.4 <= 5.4.27、PHP 5.3 以下のすべてのバージョン）のユーザーを保護するためにパッチを提供しました。Zend\Ldap を使用し、影響を受けるバージョンの PHP の場合は、速やかにアップグレードすることを推奨します。

- **ZF2014-06**：SQL Server アダプターを使用して手動で値を引用するとき、これが null バイトをエスケープしていなかったことによる、潜在的な SQL インジェクションベクトルが存在しました。null バイトがエスケープされるようにするコードが追加されました。これにより、SQLi ベクトルが緩和されます。手動で値を引用することは推奨しませんが、もしそうする場合、そして PDO がない SQL Server アダプターを使用するのであれば、速やかにアップグレードすることを推奨します。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

php-ZendFramework で脆弱性が見つかり、修正されています：

(1) 1.12.9 より前の Zend の Zend_Ldap クラスと (2) 2.2.8 より前の 2.x と 2.3.3 より前の 2.3.x の Zend の Zend\Ldap コンポーネントにより、リモートの攻撃者が、null バイトで始まるパスワードを通じて、認証をバイパスすることが可能です。これにより、認証されていない bind が発生します（CVE-2014-8088）。

更新済みのパッケージが、この問題に対して脆弱でない最新の ZendFramework（1.12.9）バージョンにアップグレードされています。

更新済みの php-ZendFramework パッケージは、複数の脆弱性を修正します。

XML 外部エンティティ（XXE）および XML エンティティ拡張（XEE）の欠陥が、 Zend フレームワークで見つかりました。攻撃者が、これらの欠陥を利用して、サービス拒否を引き起こすことや、サーバープロセスにアクセスできるファイルにアクセスすることや、より高度な XML 外部エンティティ（XXE）攻撃を実行する可能性があります（CVE-2014-2681、CVE-2014-2682、CVE-2014-2683）。

Zend_OpenId の Consumer コンポーネントを使用すると、悪意のある OpenID プロバイダーを使用することにより、任意の OpenID アカウントを用いて（機密情報を知らなくても）ログインできます。つまり、弊社自身の OpenID プロバイダーの管理下にない、任意の OpenID Identity （MyOpenID や Google など）を使用して、OpenID にログインできます。このように、フレームワークに反して、任意の OpenID Identity に偽装することができます（CVE-2014-2684、CVE-2014-2685）。

Zend フレームワーク 1 の Zend_Db_Select における ORDER BY SQL ステートメントの実装には、渡されたクエリ文字列に括弧が含まれている場合に、 SQL インジェクションの可能性が含まれています（CVE-2014-4914）。

PHP の LDAP 拡張にバグがあるため、ZendFramework の Zend_ldap クラスがログインに使用される場合に、攻撃者が null バイトを使用して、空のパスワードのチェックをバイパスし、認証されていない LDAP bind を実行することにより、任意のユーザーとしてログインする可能性があります（CVE-2014-8088）。

Microsoft SQL Server を PHP から接続する機能を提供する sqlsrv PHP 拡張が、SQL クエリにより受け渡される値を手動で引用する内蔵引用メカニズムを提供しません。
開発者は準備されたステートメントを使用することが推奨されます。Zend Framework は Zend_Db_Adapter_Sqlsrv により引用メカニズムを提供します。Zend_Db_Adapter_Sqlsrv は、推奨のダブルシングルクォート（''）を引用デリミタとして使用します。SQL Server は、クエリの null バイトを文字列終端子として処理します。これにより、攻撃者は null バイトに後続する任意の SQL を追加し、SQL インジェクションを作成できます（CVE-2014-8089）。

以前の zendframework アップロードは、CVE-2015-3154 を不適切に修正し、回帰を引き起こします。この更新は、この問題を修正します。&#x415;&#x432;&#x433;&#x435;&#x43D;&#x438;&#x439;
&#x421;&#x43C;&#x43E;&#x43B;&#x438;&#x43D;（Evgeny Smolin 氏）<esmolin@inbox.ru> に感謝の意を表します。

CVE-2012-6531

P&aacute;draic Brady 氏は、SimpleXMLElement zendframework クラスの処理に対する脆弱性があり、リモート攻撃者が、任意のファイルの読み取り、または XML 外部エンティティ（XXE）インジェクション攻撃を介した TCP 接続の作成を行う可能性があることを特定しました。

CVE-2012-6532

P&aacute;draic Brady 氏は、XML エンティティ拡張（XEE）攻撃によって、再帰または循環参照を介して、CPU 消費によるサービス拒否を引き起こす可能性があることを発見しました。

CVE-2014-2681

Lukas Reschke 氏は、XML 外部エンティティインジェクション攻撃に対する保護が、一部の機能にないことを報告しました。これは、CVE-2012-5657 の不完全な内容を拡張します。

CVE-2014-2682

Lukas Reschke 氏は、libxml_disable_entity_loader 設定が PHP-FPM のケースで複数のスレッドで共有されることが配慮されていないことを報告しました。これは、CVE-2012-5657 の不完全な内容を拡張します。

CVE-2014-2683

Lukas Reschke 氏は、XML エンティティ拡張攻撃に対する保護が、一部の機能にないことを報告しました。これは、CVE-2012-6532 の不完全な内容を拡張します。

CVE-2014-2684

ルール大学ボーフムの Christian Mainka 氏および Vladislav Mladenov 氏は、消費者が検証する方法にエラーがあり、これによりソースの誤ったトークンが受け入れられることを報告しました。

CVE-2014-2685

ルール大学ボーフムの Christian Mainka 氏および Vladislav Mladenov 氏は、仕様の違反があり、単一のパラメーターの署名が誤って十分であると見なされていることを報告しました。

CVE-2014-4914

Cassiano Dal Pizzol 氏は、受け渡されるクエリ文字列が括弧を含む場合、Zend_Db_Select の ORDER BY SQL ステートメントの実装に、潜在的な SQL インジェクションが含まれることを発見しました。

CVE-2014-8088

Positive Research Center の Yury Dyachenko 氏は、PHP の DOM 拡張が安全でない形で使用されているため、潜在的な XML 外部エンティティインジェクションベクトルが存在することを特定しました。

CVE-2014-8089

Jonas Sandstr&ouml;m 氏は、null バイトを使用した、sqlsrv 拡張に対する値を手動で引用したときの SQL インジェクションベクトルを発見しました。

CVE-2015-3154

Filippo Tessarotto 氏と Maks3w は、メールと HTTP ヘッダーにある潜在的な CRLF インジェクション攻撃を報告しました。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
78494	Fedora 21 : php-ZendFramework2-2.3.3-1.fc21（2014-12676）	Nessus	Fedora Local Security Checks	2014/10/16	2021/1/11	medium
78567	Fedora 19：php-ZendFramework-1.12.9-1.fc19（2014-12344）	Nessus	Fedora Local Security Checks	2014/10/20	2021/1/11	medium
78713	Fedora 20 : php-ZendFramework2-2.3.3-2.fc20（2014-13302）	Nessus	Fedora Local Security Checks	2014/10/29	2021/1/11	medium
78786	Fedora 21：php-ZendFramework-1.12.9-1.fc21（2014-12341）	Nessus	Fedora Local Security Checks	2014/11/3	2021/1/11	medium
78568	Fedora 20：php-ZendFramework-1.12.9-1.fc20（2014-12418）	Nessus	Fedora Local Security Checks	2014/10/20	2021/1/11	medium
79874	Amazon Linux AMI：php-ZendFramework（ALAS-2014-460）	Nessus	Amazon Linux Local Security Checks	2014/12/15	2020/2/24	critical
83748	Debian DSA-3265-1：zendframework - セキュリティ更新	Nessus	Debian Local Security Checks	2015/5/21	2021/1/11	critical
79090	Fedora 19 : php-ZendFramework2-2.2.8-2.fc19（2014-14043）	Nessus	Fedora Local Security Checks	2014/11/11	2021/1/11	medium
79366	Mandriva Linux セキュリティアドバイザリ：php-ZendFramework（MDVSA-2014:216）	Nessus	Mandriva Local Security Checks	2014/11/21	2021/1/6	medium
82350	Mandriva Linux セキュリティアドバイザリ：php-ZendFramework（MDVSA-2015:097）	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	high
84297	Debian DLA-251-2：zendframework 回帰更新	Nessus	Debian Local Security Checks	2015/6/22	2021/1/11	critical

検出

プラグインの検索

medium

medium

medium

medium

medium

critical

critical

medium

medium

high

critical