更新版 php-ZendFramework 套件可修正多個安全性弱點：

在 Zend 架構中發現 XML 外部實體 (XXE) 和 XML 實體擴充 (XEE) 瑕疵。遠端攻擊者可利用這些瑕疵造成拒絕服務、存取伺服器處理程序可取得的檔案，或可能執行其他更為進階的 XML 外部實體 (XXE) 攻擊 (CVE-2014-2681、CVE-2014-2682、CVE-2014-2683)。

使 Zend_OpenId 的客戶元件時，可以透過惡意 OpenID 供應商的任意 OpenID 帳戶登入 (無需知道任何私密資訊)。這表示在 OpenID 中，可以使用任意 OpenID 身分 (MyOpenID、 Google 等) 登入，而這些並不在我們 OpenID 供應商的控制範圍內。因此，我們能夠針對架構模擬任何 OpenID 身分 (CVE-2014-2684、CVE-2014-2685)。

當傳送的查詢字串包含括號時，在 Zend Framework 1 的 Zend_Db_Select 之 ORDER BY SQL 陳述式中的實作包含潛在的 SQL 插入 (CVE-2014-4914)。

由於 ZendFramework 的 Zend_ldap 類別用於登入時，PHP 的 LDAP 延伸模組中有一個錯誤，攻擊者可使用 null 位元組，以任何使用者身分登入，從而繞過空白密碼檢查，並執行未經驗證的 LDAP Bind (CVE-2014-8088)。

可供用於從 PHP 連線到 Microsoft SQL Server 的 sqlsrv PHP 延伸模組，未針對透過 SQL 查詢傳送的手動引用值，提供內建引用機制；
建議開發人員使用所準備的陳述式。Zend Framework 透過 Zend_Db_Adapter_Sqlsrv 提供引用機制，後者使用建議的雙引號 (’’) 做為引用分隔符號。SQL Server 將查詢中的 null 位元組視為字串結束字元，其允許攻擊者在 null 位元組後加上任意 SQL，從而建立 SQL 插入 (CVE-2014-8089)。

偵測

Mandriva Linux 安全性公告：php-ZendFramework (MDVSA-2015:097)

high Nessus Plugin ID 82350

找不到變更記錄