在操控 CPAN SIGNATURE 檔案的 Perl 模組 libmodule-signature-perl 中發現多個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：

- CVE-2015-3406 John Lightsey 發現，Module::Signature 因為錯誤處理 PGP 簽署邊界，因而可能將 SIGNATURE 檔案中未簽署的部分剖析為已簽署的部分。

- CVE-2015-3407 John Lightsey 發現，Module::Signature 未正確處理未列在 SIGNATURE 檔案中的檔案。這包括 t/ 目錄中的某些檔案，這些檔案可在進行測試時執行。

- CVE-2015-3408 John Lightsey 發現，Module::Signature 從已簽署的資訊清單產生總和檢查碼時，使用兩個引數 open() 呼叫讀取檔案。這會允許將任意 shell 命令內嵌至會在簽章驗證處理程序期間執行的 SIGNATURE 檔案。

- CVE-2015-3409 John Lightsey 發現，Module::Signature 未正確處理模組載入，導致允許從 @INC 中的相對路徑載入模組。遠端攻擊者若提供惡意模組，就可利用此問題，在簽章驗證期間執行任意程式碼。

請注意，libtest-signature-perl 會收到一個更新，以便與 libmodule-signature-perl 中的 CVE-2015-3407 修正相容。

偵測

Debian DSA-3261-1：libmodule-signature-perl - 安全性更新

high Nessus Plugin ID 83501

找不到變更記錄