在 PHP 架構 Zend Framework 中發現多個弱點。CVE-2015-3154 除外，一開始隨附於 Jessie 的版本已修正所有這些問題。

- CVE-2014-2681 Lukas Reschke 報告，某些函式缺少對 XML 外部實體插入攻擊的防護功能。
 此修正擴充了 CVE-2012-5657 的未完成修正。

- CVE-2014-2682 Lukas Reschke 報告，未能考慮 libxml_disable_entity_loader 設定在 PHP-FPM 情況下會在執行緒之間共用。此修正擴充了 CVE-2012-5657 的未完成修正。

- CVE-2014-2683 Lukas Reschke 報告，某些函式缺少對 XML 實體擴充攻擊的防護功能。此修正擴充了 CVE-2012-6532 的未完成修正。

- CVE-2014-2684 Ruhr-University Bochum 的 Christian Mainka 和 Vladislav Mladenov 報告客戶的驗證方式中有一個錯誤，其會導致接受錯誤來源提供的 token。

- CVE-2014-2685 Ruhr-University Bochum 的 Christian Mainka 和 Vladislav Mladenov 報告有一個違反規格的問題，其中簽署單一參數時，系統會不正確將其視為已足夠。

- CVE-2014-4914 Cassiano Dal Pizzol 發現，傳送的查詢字串包含括號時，Zend_Db_Select 的 ORDER BY SQL 陳述式實作可能會有一個 SQL 插入問題。

- CVE-2014-8088 Positive Research Center 的 Yury Dyachenko 發現有潛在的 XML eXternal 實體插入向量問題，此問題是因為使用 PHP DOM 延伸模組的方式不安全所導致。

- CVE-2014-8089 Jonas Sandström 發現，使用 null 位元組手動引用 sqlsrv 延伸模組值時，出現一個 SQL 插入向量問題。

- CVE-2015-3154 Filippo Tessarotto 和 Maks3w 報告，郵件和 HTTP 標頭中有潛在的 CRLF 插入攻擊。

偵測

Debian DSA-3265-1：zendframework - 安全性更新

critical Nessus Plugin ID 83748

找不到變更記錄