**Zend Framework 1.12.13**

- 567：建立標頭時將 int 和 float 轉換為字串

**Zend Framework 1.12.12**

- 493：沒有安裝 PHPUnit

- 511：將 PATCH 新增至 Zend_Controller_Request_HttpTestCase 中的允許方法清單

- 513：複製 PHPUnit 時節省時間和空間

- 515：!IE 條件註解錯誤

- 516：Zend_Locale 不接受 parentLocale 組態

- 518：也在 PHP 7 版本上執行 travis 版本

- 534：單元測試失敗：
Zend_Validate_EmailAddressTest::testIdnHostnameInEmail lAddress

- 536：Zend_Measure_Number 將某些小數轉換為有空格字元的 roman

- 537：擴充檢視轉譯器控制器修正 (#440)

- 540：修正 Zend_XmlRpc/Amf_Server 中的 PHP 7 BC 中斷

- 541：修正 PHP7 測試中的錯誤

- 542：處理路由時，正確重設子路徑

- 545：修正會影響稍後路由且被鏈結路由去除的路徑分隔符號

- 546：TravisCI：略過 PHP 5.2 上的 memcache(d)

- 547：工作階段開始時，工作階段驗證程式擲回「general」工作階段例外狀況

- 550：注意「未定義索引：browser_version」

- 557：doc：無法讀取 Zend 架構相依性表格

- 559：修正 SK 之 Zend_Validate 訊息中的錯字

- 561：Zend_Date 不是預期的年份

- 564：Zend_Application嘗試在安裝期間載入 ZendX_Application_Resource_FrontController

**安全性**

- **ZF2015-04**：Zend_Mail 和 Zend_Http 兩者都會受到 CRLF 插入攻擊向量影響 (對於 HTTP 而言，這通常稱為 HTTP 回應分割)。
 這兩個元件都已更新，可執行標頭值驗證，確保沒有任何值包含對應規格中未詳述的字元，且會在偵測時提出例外狀況。每個元件在將標頭值插入標頭類別之前，還會提供新的標頭值驗證和篩選設備。如果您使用的是 Zend_Mail 或 Zend_Http，我們建議您立即升級。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 PHP 架構 Zend Framework 中發現多個弱點。CVE-2015-3154 除外，一開始隨附於 Jessie 的版本已修正所有這些問題。

- CVE-2014-2681 Lukas Reschke 報告，某些函式缺少對 XML 外部實體插入攻擊的防護功能。
 此修正擴充了 CVE-2012-5657 的未完成修正。

- CVE-2014-2682 Lukas Reschke 報告，未能考慮 libxml_disable_entity_loader 設定在 PHP-FPM 情況下會在執行緒之間共用。此修正擴充了 CVE-2012-5657 的未完成修正。

- CVE-2014-2683 Lukas Reschke 報告，某些函式缺少對 XML 實體擴充攻擊的防護功能。此修正擴充了 CVE-2012-6532 的未完成修正。

- CVE-2014-2684 Ruhr-University Bochum 的 Christian Mainka 和 Vladislav Mladenov 報告客戶的驗證方式中有一個錯誤，其會導致接受錯誤來源提供的 token。

- CVE-2014-2685 Ruhr-University Bochum 的 Christian Mainka 和 Vladislav Mladenov 報告有一個違反規格的問題，其中簽署單一參數時，系統會不正確將其視為已足夠。

- CVE-2014-4914 Cassiano Dal Pizzol 發現，傳送的查詢字串包含括號時，Zend_Db_Select 的 ORDER BY SQL 陳述式實作可能會有一個 SQL 插入問題。

- CVE-2014-8088 Positive Research Center 的 Yury Dyachenko 發現有潛在的 XML eXternal 實體插入向量問題，此問題是因為使用 PHP DOM 延伸模組的方式不安全所導致。

- CVE-2014-8089 Jonas Sandström 發現，使用 null 位元組手動引用 sqlsrv 延伸模組值時，出現一個 SQL 插入向量問題。

- CVE-2015-3154 Filippo Tessarotto 和 Maks3w 報告，郵件和 HTTP 標頭中有潛在的 CRLF 插入攻擊。

上游報告，Zend Framework 2 中的 Zend\Mail 元件，尤其是其處理標頭的方式，有一個弱點。未針對新行正確篩選標頭，進而能夠傳送其他不相關的標頭，且能夠透過發出標頭/內文分隔符號序列繞過其他標頭。

前版 zendframework 針對 CVE-2015-3154 的修正有錯誤，因而導致迴歸。此更新可更正這個問題。感謝 &#x415;&#x432;&#x433;&#x435;&#x43D;&#x438;&#x439;
&#x421;&#x43C;&#x43E;&#x43B;&#x438;&#x43D; (Evgeny Smolin) <esmolin@inbox.ru>。

CVE-2012-6531

Pádraic Brady 發現一個處理 SimpleXMLElement zendframework 類別的弱點，會允許遠端攻擊者透過 XML 外部實體 (XXE) 插入攻擊，讀取任意檔案或建立 TCP 連線。

CVE-2012-6532

Pádraic Brady 發現，遠端攻擊者可藉由 XML 外部實體 (XXE) 攻擊，透過遞迴或循環參照，以 CPU 消耗的方式造成拒絕服務。

CVE-2014-2681

Lukas Reschke 報告，某些函式缺少對 XML 外部實體插入攻擊的防護功能。此修正擴充了 CVE-2012-5657 的未完成修正。

CVE-2014-2682

Lukas Reschke 報告，應謹慎考慮 libxml_disable_entity_loader 設定在 PHP-FPM 情況下於執行緒之間共用的問題。此修正擴充了 CVE-2012-5657 的未完成修正。

CVE-2014-2683

Lukas Reschke 報告，某些函式缺少對 XML 實體擴充攻擊的防護功能。此修正擴充了 CVE-2012-6532 的未完成修正。

CVE-2014-2684

Ruhr-University Bochum 的 Christian Mainka 和 Vladislav Mladenov 報告客戶的驗證方式中有一個錯誤，其會導致接受錯誤來源提供的 token。

CVE-2014-2685

Ruhr-University Bochum 的 Christian Mainka 和 Vladislav Mladenov 報告有一個規格違規，其中簽署單一參數時，系統會不正確將其視為已足夠。

CVE-2014-4914

Cassiano Dal Pizzol 發現，傳送的查詢字串包含括號時，Zend_Db_Select 的 ORDER BY SQL 陳述式實作可能會有一個 SQL 插入問題。

CVE-2014-8088

Positive Research Center 的 Yury Dyachenko 發現有一個潛在的 XML 外部實體插入向量，此問題是因為使用 PHP DOM 延伸模組的方式不安全所導致。

CVE-2014-8089

Jonas Sandström 發現，使用 null 位元組手動引用 sqlsrv 延伸模組值時，出現一個 SQL 插入向量。

CVE-2015-3154

Filippo Tessarotto 和 Maks3w 報告，郵件和 HTTP 標頭中有潛在的 CRLF 插入攻擊。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	產品	系列	已發布	已更新	嚴重性
83934	Fedora 20 : php-ZendFramework-1.12.13-1.fc20 (2015-8714)	Nessus	Fedora Local Security Checks	2015/6/2	2021/1/11	medium
83748	Debian DSA-3265-1：zendframework - 安全性更新	Nessus	Debian Local Security Checks	2015/5/21	2021/1/11	critical
83933	Fedora 21 : php-ZendFramework-1.12.13-1.fc21 (2015-8710)	Nessus	Fedora Local Security Checks	2015/6/2	2021/1/11	medium
83932	Fedora 22 : php-ZendFramework-1.12.13-1.fc22 (2015-8704)	Nessus	Fedora Local Security Checks	2015/6/2	2021/1/11	medium
84596	Amazon Linux AMI : php-ZendFramework (ALAS-2015-560)	Nessus	Amazon Linux Local Security Checks	2015/7/8	2020/1/31	medium
84297	Debian DLA-251-2：zendframework 迴歸更新	Nessus	Debian Local Security Checks	2015/6/22	2021/1/11	critical

偵測

搜尋 Plugin

medium

critical

medium

medium

medium

critical