前版 zendframework 針對 CVE-2015-3154 的修正有錯誤，因而導致迴歸。此更新可更正這個問題。感謝 &#x415;&#x432;&#x433;&#x435;&#x43D;&#x438;&#x439;
&#x421;&#x43C;&#x43E;&#x43B;&#x438;&#x43D; (Evgeny Smolin) <esmolin@inbox.ru>。

CVE-2012-6531

Pádraic Brady 發現一個處理 SimpleXMLElement zendframework 類別的弱點，會允許遠端攻擊者透過 XML 外部實體 (XXE) 插入攻擊，讀取任意檔案或建立 TCP 連線。

CVE-2012-6532

Pádraic Brady 發現，遠端攻擊者可藉由 XML 外部實體 (XXE) 攻擊，透過遞迴或循環參照，以 CPU 消耗的方式造成拒絕服務。

CVE-2014-2681

Lukas Reschke 報告，某些函式缺少對 XML 外部實體插入攻擊的防護功能。此修正擴充了 CVE-2012-5657 的未完成修正。

CVE-2014-2682

Lukas Reschke 報告，應謹慎考慮 libxml_disable_entity_loader 設定在 PHP-FPM 情況下於執行緒之間共用的問題。此修正擴充了 CVE-2012-5657 的未完成修正。

CVE-2014-2683

Lukas Reschke 報告，某些函式缺少對 XML 實體擴充攻擊的防護功能。此修正擴充了 CVE-2012-6532 的未完成修正。

CVE-2014-2684

Ruhr-University Bochum 的 Christian Mainka 和 Vladislav Mladenov 報告客戶的驗證方式中有一個錯誤，其會導致接受錯誤來源提供的 token。

CVE-2014-2685

Ruhr-University Bochum 的 Christian Mainka 和 Vladislav Mladenov 報告有一個規格違規，其中簽署單一參數時，系統會不正確將其視為已足夠。

CVE-2014-4914

Cassiano Dal Pizzol 發現，傳送的查詢字串包含括號時，Zend_Db_Select 的 ORDER BY SQL 陳述式實作可能會有一個 SQL 插入問題。

CVE-2014-8088

Positive Research Center 的 Yury Dyachenko 發現有一個潛在的 XML 外部實體插入向量，此問題是因為使用 PHP DOM 延伸模組的方式不安全所導致。

CVE-2014-8089

Jonas Sandström 發現，使用 null 位元組手動引用 sqlsrv 延伸模組值時，出現一個 SQL 插入向量。

CVE-2015-3154

Filippo Tessarotto 和 Maks3w 報告，郵件和 HTTP 標頭中有潛在的 CRLF 插入攻擊。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-251-2：zendframework 迴歸更新

critical Nessus Plugin ID 84297

找不到變更記錄