Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Zend Framework

Betroffene Plattformen:

Extra Packages for Red Hat Enterprise Linux 6

Zwei Schwachstellen in Zend Framework ermöglichen einem entfernten, nicht
authentifizierten Angreifer die Ausführung beliebigen Programmcodes mit
Benutzerrechten und einem lokalen, einfach authentifizierten Angreifer die
Ausführung beliebigen Programmcodes mit den Rechten des Dienstes.

Für Fedora EPEL 6 stehen Backport-Sicherheitsupdates für das Zend Framework
2.2.10 im Status ‘testing’ bereit.

Patch:

Fedora Security Update FEDORA-EPEL-2016-6e8996ae73 (Fedora EPEL 6,
php-ZendFramework2-2.2.10)

https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-6e8996ae73

Patch:

Zend Framework Security Advisory ZF2015-06

https://framework.zend.com/security/advisory/ZF2015-06

Patch:

Zend Framework Security Advisory ZF2015-07

https://framework.zend.com/security/advisory/ZF2015-07

CVE-2015-5723: Schwachstelle in verschiedenen PHP Doctrine Projekten
ermöglicht Ausführen beliebigen Programmcodes mit den Rechten des Dienstes

Eine Schwachstelle in den PHP Doctrine-Projekten Annotations vor Version
1.2.7, Cache vor Version 1.4.2 oder 1.3.2, Common vor Version 2.5.1 oder
2.4.3, ORM vor Version 2.5.1 oder 2.4.8, MongoDB ODM vor Version 1.0.2 und
MongoDB ODM Bundle vor Version 3.0.1 ermöglicht es, wenn die Anwendung mit
“umask(0)” gestartet wurde, beliebigen Programmcode in Cache-Verzeichnisse
zu schreiben. Dieser wird dann mit den Benutzerrechten des Webservers zur
Ausführung gebracht. Ein lokaler, einfach authentifizierter Angreifer kann
beliebigen Programmcode mit den Rechten des Dienstes ausführen.

CVE-2015-5161: Schwachstelle in Zend Framework ermöglicht u.a. Ausführung
beliebiger Kommandos

In der Komponente “Zend_XmlRpc_Server” des Zend Frameworks bevor 1.12.14,
2.x bevor 2.4.6 und 2.5.x bevor 2.5.2 besteht eine Schwachstelle aufgrund
unzureichender Authentifizierungsmaßnahmen für externe Entitäten. Dadurch
ist das Framework gegenüber XML-Externe-Entitäten-Einschleusung (XXE)
verwundbar. Ein entfernter, nicht authentifizierter Angreifer kann, durch
das Versenden speziell präparierter XML-Dateien, Denial-of-Service-Zustände
auslösen, beliebige Dateien und Netzwerk-Ressourcen ausspähen sowie
beliebige Kommandos mit Rechten des angemeldeten Benutzers ausführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-1190/

Schwachstelle CVE-2015-5161 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5161

Schwachstelle CVE-2015-5723 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5723

Fedora Security Update FEDORA-EPEL-2016-6e8996ae73 (Fedora EPEL 6,
php-ZendFramework2-2.2.10):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-6e8996ae73

Zend Framework Security Advisory ZF2015-06:
https://framework.zend.com/security/advisory/ZF2015-06

Zend Framework Security Advisory ZF2015-07:
https://framework.zend.com/security/advisory/ZF2015-07

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.