在 PHP 架構 Zend Framework 中發現多個弱點。CVE-2015-3154 除外，一開始隨附於 Jessie 的版本已修正所有這些問題。

- CVE-2014-2681 Lukas Reschke 報告，某些函式缺少對 XML 外部實體插入攻擊的防護功能。
 此修正擴充了 CVE-2012-5657 的未完成修正。

- CVE-2014-2682 Lukas Reschke 報告，未能考慮 libxml_disable_entity_loader 設定在 PHP-FPM 情況下會在執行緒之間共用。此修正擴充了 CVE-2012-5657 的未完成修正。

- CVE-2014-2683 Lukas Reschke 報告，某些函式缺少對 XML 實體擴充攻擊的防護功能。此修正擴充了 CVE-2012-6532 的未完成修正。

- CVE-2014-2684 Ruhr-University Bochum 的 Christian Mainka 和 Vladislav Mladenov 報告客戶的驗證方式中有一個錯誤，其會導致接受錯誤來源提供的 token。

- CVE-2014-2685 Ruhr-University Bochum 的 Christian Mainka 和 Vladislav Mladenov 報告有一個違反規格的問題，其中簽署單一參數時，系統會不正確將其視為已足夠。

- CVE-2014-4914 Cassiano Dal Pizzol 發現，傳送的查詢字串包含括號時，Zend_Db_Select 的 ORDER BY SQL 陳述式實作可能會有一個 SQL 插入問題。

- CVE-2014-8088 Positive Research Center 的 Yury Dyachenko 發現有潛在的 XML eXternal 實體插入向量問題，此問題是因為使用 PHP DOM 延伸模組的方式不安全所導致。

- CVE-2014-8089 Jonas Sandström 發現，使用 null 位元組手動引用 sqlsrv 延伸模組值時，出現一個 SQL 插入向量問題。

- CVE-2015-3154 Filippo Tessarotto 和 Maks3w 報告，郵件和 HTTP 標頭中有潛在的 CRLF 插入攻擊。

上游版本資訊：
https://github.com/zendframework/zf2/releases/tag/release-2.2.6

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

更新版 php-ZendFramework 套件可修正安全性弱點：

在 Zend 架構中發現 XML 外部實體 (XXE) 和 XML 實體擴充 (XEE) 瑕疵。遠端攻擊者可利用這些瑕疵造成拒絕服務、存取伺服器處理程序可取得的檔案，或可能執行其他更為進階的 XML 外部實體 (XXE) 攻擊 (CVE-2014-2681、CVE-2014-2682、CVE-2014-2683)。

使 Zend_OpenId 的客戶元件時，可以透過惡意 OpenID 供應商的任意 OpenID 帳戶登入 (無需知道任何私密資訊)。這表示在 OpenID 中，可以使用任意 OpenID 身分 (MyOpenID、 Google 等) 登入，而這些並不在我們 OpenID 供應商的控制範圍內。因此，我們能夠針對架構模擬任何 OpenID 身分 (CVE-2014-2684、CVE-2014-2685)。

更新至 1.12.5 修正 http://framework.zend.com/security/advisory/ZF2014-01 修正 http://framework.zend.com/security/advisory/ZF2014-02 已移除：
InfoCards、Services/Nirvanix

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ZendOpenId 2.0.2 之前版本之客戶元件中的 GenericConsumer 類別以及 Zend Framework 1 1.12.4 之前版本中的 Zend_OpenId_Consumer 類別，透過僅確保已簽署至少一個欄位違反 OpenID 2.0 通訊協定，進而允許遠端攻擊者透過利用 OpenID 供應商的宣告繞過驗證。

在 Zend 架構中發現 XML 外部實體 (XXE) 和 XML 實體擴充 (XEE) 瑕疵。遠端攻擊者可利用這些瑕疵引發拒絕服務、存取伺服器處理程序可取得的檔案，或可能執行其他更為進階的 XML 外部實體 (XXE) 攻擊。

使用 ZendOpenId (或 ZF1 中的 Zend_OpenId) 的客戶元件時，可以透過惡意 OpenID 提供者的任意 OpenID 帳戶登入 (無需知道任何私密資訊)。
這表示在 OpenID 中，可以使用任意 OpenID 身分 (MyOpenID、 Google 等) 登入，而這些並不在我們 OpenID 供應商的控制範圍內。因此，我們能夠針對架構模擬任何 OpenID 身分。

此外，客戶會接受具有任意簽署元素的 OpenID token。架構不會檢查 (例如) openid.claimed_id 和 openid.endpoint_url 是否已簽署。簽署一個參數就已足夠。根據 https://openid.net/specs/openid-authentication-2_0.html#positive_assertions，必須至少簽署 op_endpoint、return_to、response_nonce、assoc_handle，以及 claimed_id 和 identity (若出現在回應中)。

更新版 php-ZendFramework 套件可修正多個安全性弱點：

在 Zend 架構中發現 XML 外部實體 (XXE) 和 XML 實體擴充 (XEE) 瑕疵。遠端攻擊者可利用這些瑕疵造成拒絕服務、存取伺服器處理程序可取得的檔案，或可能執行其他更為進階的 XML 外部實體 (XXE) 攻擊 (CVE-2014-2681、CVE-2014-2682、CVE-2014-2683)。

使 Zend_OpenId 的客戶元件時，可以透過惡意 OpenID 供應商的任意 OpenID 帳戶登入 (無需知道任何私密資訊)。這表示在 OpenID 中，可以使用任意 OpenID 身分 (MyOpenID、 Google 等) 登入，而這些並不在我們 OpenID 供應商的控制範圍內。因此，我們能夠針對架構模擬任何 OpenID 身分 (CVE-2014-2684、CVE-2014-2685)。

當傳送的查詢字串包含括號時，在 Zend Framework 1 的 Zend_Db_Select 之 ORDER BY SQL 陳述式中的實作包含潛在的 SQL 插入 (CVE-2014-4914)。

由於 ZendFramework 的 Zend_ldap 類別用於登入時，PHP 的 LDAP 延伸模組中有一個錯誤，攻擊者可使用 null 位元組，以任何使用者身分登入，從而繞過空白密碼檢查，並執行未經驗證的 LDAP Bind (CVE-2014-8088)。

可供用於從 PHP 連線到 Microsoft SQL Server 的 sqlsrv PHP 延伸模組，未針對透過 SQL 查詢傳送的手動引用值，提供內建引用機制；
建議開發人員使用所準備的陳述式。Zend Framework 透過 Zend_Db_Adapter_Sqlsrv 提供引用機制，後者使用建議的雙引號 (’’) 做為引用分隔符號。SQL Server 將查詢中的 null 位元組視為字串結束字元，其允許攻擊者在 null 位元組後加上任意 SQL，從而建立 SQL 插入 (CVE-2014-8089)。

前版 zendframework 針對 CVE-2015-3154 的修正有錯誤，因而導致迴歸。此更新可更正這個問題。感謝 &#x415;&#x432;&#x433;&#x435;&#x43D;&#x438;&#x439;
&#x421;&#x43C;&#x43E;&#x43B;&#x438;&#x43D; (Evgeny Smolin) <esmolin@inbox.ru>。

CVE-2012-6531

Pádraic Brady 發現一個處理 SimpleXMLElement zendframework 類別的弱點，會允許遠端攻擊者透過 XML 外部實體 (XXE) 插入攻擊，讀取任意檔案或建立 TCP 連線。

CVE-2012-6532

Pádraic Brady 發現，遠端攻擊者可藉由 XML 外部實體 (XXE) 攻擊，透過遞迴或循環參照，以 CPU 消耗的方式造成拒絕服務。

CVE-2014-2681

Lukas Reschke 報告，某些函式缺少對 XML 外部實體插入攻擊的防護功能。此修正擴充了 CVE-2012-5657 的未完成修正。

CVE-2014-2682

Lukas Reschke 報告，應謹慎考慮 libxml_disable_entity_loader 設定在 PHP-FPM 情況下於執行緒之間共用的問題。此修正擴充了 CVE-2012-5657 的未完成修正。

CVE-2014-2683

Lukas Reschke 報告，某些函式缺少對 XML 實體擴充攻擊的防護功能。此修正擴充了 CVE-2012-6532 的未完成修正。

CVE-2014-2684

Ruhr-University Bochum 的 Christian Mainka 和 Vladislav Mladenov 報告客戶的驗證方式中有一個錯誤，其會導致接受錯誤來源提供的 token。

CVE-2014-2685

Ruhr-University Bochum 的 Christian Mainka 和 Vladislav Mladenov 報告有一個規格違規，其中簽署單一參數時，系統會不正確將其視為已足夠。

CVE-2014-4914

Cassiano Dal Pizzol 發現，傳送的查詢字串包含括號時，Zend_Db_Select 的 ORDER BY SQL 陳述式實作可能會有一個 SQL 插入問題。

CVE-2014-8088

Positive Research Center 的 Yury Dyachenko 發現有一個潛在的 XML 外部實體插入向量，此問題是因為使用 PHP DOM 延伸模組的方式不安全所導致。

CVE-2014-8089

Jonas Sandström 發現，使用 null 位元組手動引用 sqlsrv 延伸模組值時，出現一個 SQL 插入向量。

CVE-2015-3154

Filippo Tessarotto 和 Maks3w 報告，郵件和 HTTP 標頭中有潛在的 CRLF 插入攻擊。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	產品	系列	已發布	已更新	嚴重性
83748	Debian DSA-3265-1：zendframework - 安全性更新	Nessus	Debian Local Security Checks	2015/5/21	2021/1/11	critical
73505	Fedora 19：php-ZendFramework2-2.2.6-1.fc19 (2014-4636)	Nessus	Fedora Local Security Checks	2014/4/15	2021/1/11	high
73447	Mandriva Linux 安全性公告：php-ZendFramework (MDVSA-2014:072)	Nessus	Mandriva Local Security Checks	2014/4/10	2021/1/6	high
73503	Fedora 20：php-ZendFramework2-2.2.6-1.fc20 (2014-4612)	Nessus	Fedora Local Security Checks	2014/4/15	2021/1/11	high
73502	Fedora 19 : php-ZendFramework-1.12.5-1.fc19 (2014-4603)	Nessus	Fedora Local Security Checks	2014/4/15	2021/1/11	high
73506	Fedora 20 : php-ZendFramework-1.12.5-1.fc20 (2014-4651)	Nessus	Fedora Local Security Checks	2014/4/15	2021/1/11	high
78320	Amazon Linux AMI : php-ZendFramework (ALAS-2014-377)	Nessus	Amazon Linux Local Security Checks	2014/10/12	2018/4/18	high
82350	Mandriva Linux 安全性公告：php-ZendFramework (MDVSA-2015:097)	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	high
84297	Debian DLA-251-2：zendframework 迴歸更新	Nessus	Debian Local Security Checks	2015/6/22	2021/1/11	critical

偵測

搜尋 Plugin

critical

high

high

high

high

high

high

high

critical