Debian DSA-3265-1：zendframework - 安全更新
critical Nessus 插件 ID 83748
语言：
简介
远程 Debian 主机缺少与安全相关的更新。描述
在 Zend Framework（一个 PHP 框架）中发现多种漏洞。除 CVE-2015-3154 外，在 Jessie 最初随附的版本中，已修复所有这些问题。- CVE-2014-2681 Lukas Reschke 报告了在某些函数中缺乏针对 XML 外部实体注入攻击的防护措施。
此补丁扩展了 CVE-2012-5657 中的不完整补丁。
- CVE-2014-2682 Lukas Reschke 报告了未考虑在 PHP-FPM 的情况下，线程之间会共享 libxml_disable_entity_loader 设置的问题。此补丁扩展了 CVE-2012-5657 中的不完整补丁。
- CVE-2014-2683 Lukas Reschke 报告了在某些函数中缺乏针对 XML 实体扩展攻击的防护措施。此补丁扩展了 CVE-2012-6532 中的不完整补丁。
- CVE-2014-2684 Ruhr-University Bochum 的 Christian Mainka 和 Vladislav Mladenov 报告了用户验证方法中存在错误，可导致接受错误来源的标记。
- CVE-2014-2685 Ruhr-University Bochum 的 Christian Mainka 和 Vladislav Mladenov 报告了未正确充分考虑单个参数签名时存在的规范违例。
- CVE-2014-4914 Cassiano Dal Pizzol 发现，传递的查询字符串包含括号时，Zend_Db_Select 中的 ORDER BY SQL 语句实现中包含潜在的 SQL 注入问题。
- CVE-2014-8088 Positive Research Center 的 Yury Dyachenko 发现，由于 PHP 的 DOM 扩展的不安全使用，导致潜在的 XML 外部实体注入矢量。
- CVE-2014-8089 Jonas Sandström 发现，使用空字节手动引用 sqlsrv 扩展的值时存在 SQL 注入矢量。
- CVE-2015-3154 Filippo Tessarotto 和 Maks3w 报告了在邮件和 HTTP 标头中存在潜在的 CRLF 注入攻击。
解决方案
升级 zendframework 程序包。对于旧稳定发行版本 (wheezy)，已在版本 1.11.13-1.1+deb7u1 中修复这些问题。
对于稳定发行版本 (jessie)，已在版本 1.12.9+dfsg-2+deb8u1 中修复这些问题。
另见
https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=743175
https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=754201
https://security-tracker.debian.org/tracker/CVE-2015-3154
https://security-tracker.debian.org/tracker/CVE-2014-2681
https://security-tracker.debian.org/tracker/CVE-2012-5657
https://security-tracker.debian.org/tracker/CVE-2014-2682
https://security-tracker.debian.org/tracker/CVE-2014-2683
https://security-tracker.debian.org/tracker/CVE-2012-6532
https://security-tracker.debian.org/tracker/CVE-2014-2684
https://security-tracker.debian.org/tracker/CVE-2014-2685
https://security-tracker.debian.org/tracker/CVE-2014-4914
https://security-tracker.debian.org/tracker/CVE-2014-8088
https://security-tracker.debian.org/tracker/CVE-2014-8089
https://packages.debian.org/source/wheezy/zendframework
插件详情
严重性: Critical
ID: 83748
文件名: debian_DSA-3265.nasl
版本: 2.10
类型: local
代理: unix
发布时间: 2015/5/21
最近更新时间: 2021/1/11
支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.7
CVSS v2
风险因素: High
基本分数: 7.5
时间分数: 5.5
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:debian:debian_linux:zendframework, cpe:/o:debian:debian_linux:7.0, cpe:/o:debian:debian_linux:8.0
必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
易利用性: No known exploits are available
补丁发布日期: 2015/5/20
参考资料信息
CVE: CVE-2014-2681, CVE-2014-2682, CVE-2014-2683, CVE-2014-2684, CVE-2014-2685, CVE-2014-4914, CVE-2014-8088, CVE-2014-8089, CVE-2015-3154
BID: 66358, 68031, 70011, 70378, 74561
DSA: 3265