Amazon Linux AMI : perl (ALAS-2013-177)

high Nessus Plugin ID 69736
新推出!Plugin 嚴重性目前使用 CVSS v3

計算 Plugin 嚴重性已更新為預設使用 CVSS v3 沒有 CVSS v3 評分的 Plugin 會回歸到以 CVSS v2 計算嚴重性。您可在設定下拉式選單中切換顯示嚴重性的喜好設定

Synopsis

遠端 Amazon Linux AMI 主機缺少一個安全性更新。

描述

在 Perl 中發現堆積溢位瑕疵。如果 Perl 應用程式允許使用者輸入以控制字串重複運算子的計數引數,攻擊者可使應用程式損毀,或者可能會以執行應用程式之使用者的權限執行任意程式碼。(CVE-2012-5195)

在 Perl 的重新雜湊程式碼實作 (負責重新計算雜湊金鑰以及重新散佈雜湊內容) 處理特定輸入的方式中發現一個拒絕服務瑕疵。如果攻擊者提供 Perl 應用程式作為雜湊金鑰使用的特製輸入,可造成過度消耗記憶體。
(CVE-2013-1667)

據發現,用於處理 Common Gateway Interface 要求與回應的 Perl CGI 模組會不正確地清理 Set-Cookie 和 P3P 標頭的值。如果使用 CGI 模組的 Perl 應用程式重複使用 Cookie 值,並接受來自網頁瀏覽器之未受信任的輸入,則遠端攻擊者可利用此瑕疵改變 Cookie 的成員項目,或加入新的項目。(CVE-2012-5526)

據發現,用來當地語系化 Perl 應用程式的 Perl Locale::Maketext 模組無法正確處理反斜線或完整方法名稱。攻擊者可能利用此瑕疵,以使用未受信任之 Locale::Maketext 範本的 Perl 應用程式權限執行任意 Perl 程式碼。
(CVE-2012-6329)

解決方案

執行「yum update perl」以更新系統。

另請參閱

https://alas.aws.amazon.com/ALAS-2013-177.html

Plugin 詳細資訊

嚴重性: High

ID: 69736

檔案名稱: ala_ALAS-2013-177.nasl

版本: 1.9

類型: local

代理程式: unix

已發布: 2013/9/4

已更新: 2019/2/7

相依性: ssh_get_info.nasl

風險資訊

VPR

風險因素: High

分數: 7.4

CVSS v2

風險因素: High

基本分數: 7.5

媒介: AV:N/AC:L/Au:N/C:P/I:P/A:P

弱點資訊

CPE: p-cpe:/a:amazon:linux:perl, p-cpe:/a:amazon:linux:perl-Archive-Extract, p-cpe:/a:amazon:linux:perl-Archive-Tar, p-cpe:/a:amazon:linux:perl-CGI, p-cpe:/a:amazon:linux:perl-CPAN, p-cpe:/a:amazon:linux:perl-CPANPLUS, p-cpe:/a:amazon:linux:perl-Compress-Raw-Bzip2, p-cpe:/a:amazon:linux:perl-Compress-Raw-Zlib, p-cpe:/a:amazon:linux:perl-Compress-Zlib, p-cpe:/a:amazon:linux:perl-Digest-SHA, p-cpe:/a:amazon:linux:perl-ExtUtils-CBuilder, p-cpe:/a:amazon:linux:perl-ExtUtils-Embed, p-cpe:/a:amazon:linux:perl-ExtUtils-MakeMaker, p-cpe:/a:amazon:linux:perl-ExtUtils-ParseXS, p-cpe:/a:amazon:linux:perl-File-Fetch, p-cpe:/a:amazon:linux:perl-IO-Compress-Base, p-cpe:/a:amazon:linux:perl-IO-Compress-Bzip2, p-cpe:/a:amazon:linux:perl-IO-Compress-Zlib, p-cpe:/a:amazon:linux:perl-IO-Zlib, p-cpe:/a:amazon:linux:perl-IPC-Cmd, p-cpe:/a:amazon:linux:perl-Locale-Maketext-Simple, p-cpe:/a:amazon:linux:perl-Log-Message, p-cpe:/a:amazon:linux:perl-Log-Message-Simple, p-cpe:/a:amazon:linux:perl-Module-Build, p-cpe:/a:amazon:linux:perl-Module-CoreList, p-cpe:/a:amazon:linux:perl-Module-Load, p-cpe:/a:amazon:linux:perl-Module-Load-Conditional, p-cpe:/a:amazon:linux:perl-Module-Loaded, p-cpe:/a:amazon:linux:perl-Module-Pluggable, p-cpe:/a:amazon:linux:perl-Object-Accessor, p-cpe:/a:amazon:linux:perl-Package-Constants, p-cpe:/a:amazon:linux:perl-Params-Check, p-cpe:/a:amazon:linux:perl-Parse-CPAN-Meta, p-cpe:/a:amazon:linux:perl-Pod-Escapes, p-cpe:/a:amazon:linux:perl-Pod-Simple, p-cpe:/a:amazon:linux:perl-Term-UI, p-cpe:/a:amazon:linux:perl-Test-Harness, p-cpe:/a:amazon:linux:perl-Test-Simple, p-cpe:/a:amazon:linux:perl-Time-HiRes, p-cpe:/a:amazon:linux:perl-Time-Piece, p-cpe:/a:amazon:linux:perl-core, p-cpe:/a:amazon:linux:perl-debuginfo, p-cpe:/a:amazon:linux:perl-devel, p-cpe:/a:amazon:linux:perl-libs, p-cpe:/a:amazon:linux:perl-parent, p-cpe:/a:amazon:linux:perl-suidperl, p-cpe:/a:amazon:linux:perl-version, cpe:/o:amazon:linux

必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

可被惡意程式利用: true

可輕鬆利用: Exploits are available

修補程式發佈日期: 2014/9/15

弱點發布日期: 2012/11/21

惡意利用途徑

Metasploit (TWiki MAKETEXT Remote Command Execution)

Elliot (TWiki 5.1.2 RCE)

參考資訊

CVE: CVE-2012-5195, CVE-2012-5526, CVE-2012-6329, CVE-2013-1667

ALAS: 2013-177

RHSA: 2013:0685