Bulletin d'alerte Debian

DSA-2602-1 zendframework -- Inclusion d'entités XML externes

Date du rapport :
8 janvier 2013
Paquets concernés :
zendframework
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 696483.
Dans le dictionnaire CVE du Mitre : CVE-2012-5657.
Plus de précisions :

Yury Dyachenko a découvert que Zend Framework utilise l'analyseur PHP XML de façon non sécurisée, permettant aux attaquants d'ouvrir des fichiers et de déclencher des requêtes HTTP, accédant éventuellement à des informations confidentielles.

Pour la distribution stable (Squeeze), ce problème a été corrigé dans la version 1.10.6-1squeeze2.

Pour la distribution testing (Wheezy), ce problème a été corrigé dans la version 1.11.13-1.1.

Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 1.11.13-1.1.

Nous vous recommandons de mettre à jour vos paquets zendframework.