DSA-3265-2 zendframework -- обновление безопасности

Высокая (7.5)

(AV:N/AC:L/Au:N/C:P/I:P/A:P)

Debian

zendframework (any) zendframework-bin (any) zendframework-resources (any)

В Zend Framework, инфраструктуре PHP, были обнаружены многочисленные уязвимости. За исключением
CVE-2015-3154 все эти проблемы уже были исправлены
в версии, вошедшей в Jessie.

CVE-2014-2681
    Лукас Решке сообщил об отсутствии в некоторых функциях защиты
    от инъекций внешних сущностей XML. Данное исправление дополняет
    неполное исправление для CVE-2012-5657.
CVE-2014-2682
    Лукас Решке сообщил о невозможности проверки того, что
    libxml_disable_entity_loader разделяется среди нитей в
    случае PHP-FPM. Данное исправление дополняет неполное исправление для
    CVE-2012-5657.
CVE-2014-2683
    Лукас Решке сообщил об отсутствии в некоторых функциях защиты
    от атак по принципу подстановки сущностей XML. Данное исправление дополняет неполное
    исправление для CVE-2012-6532.
CVE-2014-2684
    Кристиан Маинка и Владислав Младенов из Рурского
    университета сообщили об ошибке в методе проверки получателя, которая приводит к
    принятию токенов от неверного источника.
CVE-2014-2685
    Кристиан Маинка и Владислав Младенов из Рурского
    университета сообщили о нарушении спецификации, в котором подписывание
    единичного параметра некорректно считается достаточным.
CVE-2014-4914
    Кассиано Дал Пиццоль обнаружил, что реализация SQL-утверждения ORDER
    BY в Zend_Db_Select содержит потенциальную возможность выполнения SQL-инъекций
    при передаче запроса, содержащего скобки.
CVE-2014-8088
    Юрий Дьяченко из Positive Research Center обнаружил потенциальную возможность инъекции
    внешних сущностей XML, возникающую из-за небезопасного использования расширения
    DOM для PHP.
CVE-2014-8089
    Йонас Зандштрём обнаружил возможность выполнения SQL-инъекции при
    закавычивании значения для расширения sqlsrv вручную с использованием null-байта.
CVE-2015-3154
    Филиппо Тессаротто и Maks3w сообщили о потенциальной возможности выполнения CRLF-инъекций
    в почтовые и HTTP заголовки.

В предыдущем стабильном выпуске (wheezy) эти проблемы были исправлены
в версии 1.11.13-1.1+deb7u1.
В стабильном выпуске (jessie) эти проблемы были исправлены в
версии 1.12.9+dfsg-2+deb8u1.
В тестируемом выпуске (stretch) эти проблемы будут исправлены
в версии 1.12.12+dfsg-1.
В нестабильном выпуске (sid) эти проблемы были исправлены в
версии 1.12.12+dfsg-1.
Рекомендуется обновить пакеты zendframework.

Проблема может быть решена обновлением операционной системыдо следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 8:
noarch:
zendframework - 1.12.9+dfsg-2+deb8u2
zendframework-bin - 1.12.9+dfsg-2+deb8u2
zendframework-resources - 1.12.9+dfsg-2+deb8u2
Debian GNU/Linux 7:
noarch:
zendframework - 1.11.13-1.1+deb7u2
zendframework-bin - 1.11.13-1.1+deb7u2
zendframework-resources - 1.11.13-1.1+deb7u2

http://www.debian.org/security/dsa-3265/

Источник: CVE
Наименование: CVE-2014-8088
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-8088

Источник: CVE
Наименование: CVE-2014-8089
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-8089

Источник: CVE
Наименование: CVE-2014-4914
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-4914

Источник: CVE
Наименование: CVE-2014-2684
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-2684

Источник: CVE
Наименование: CVE-2014-2685
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-2685

Источник: CVE
Наименование: CVE-2014-2681
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-2681

Источник: CVE
Наименование: CVE-2014-2682
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-2682

Источник: CVE
Наименование: CVE-2014-2683
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-2683

Источник: CVE
Наименование: CVE-2015-3154
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3154