Debian DLA-264-1：libmodule-signature-perl 安全性更新

high Nessus Plugin ID 84495

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

John Lightsey 在 Module::Signature (操控 CPAN SIGNATURE 檔案的 Perl 模組) 中發現多個弱點。
Common Vulnerabilities and Exposures 專案發現下列問題：

CVE-2015-3406

Module::Signature 可將 SIGNATURE 檔案中未簽署的部分剖析為已簽署的部分，這是因為錯誤處理 PGP 簽署邊界所導致。

CVE-2015-3407

Module::Signature 未正確處理未列在 SIGNATURE 檔案中的檔案。這包括 t/ 目錄中的某些檔案，這些檔案可在進行測試時執行。

CVE-2015-3408

Module::Signature 從已簽署的資訊清單產生總和檢查碼時，使用兩個引數 open() 呼叫讀取檔案。這會允許將任意 shell 命令內嵌至會在簽章驗證處理程序期間執行的 SIGNATURE 檔案中。

CVE-2015-3409

Module::Signature 未正確處理模組載入，導致允許從 @INC 中的相對路徑載入模組。遠端攻擊者若提供惡意模組，就可利用此問題，在簽章驗證期間執行任意程式碼。

針對 squeeze 發行版本，這些問題已在 libmodule-signature-perl 的 0.63-1+squeeze2 版中修正。請注意，libtest-signature-perl 套件亦已更新，可與 CVE-2015-3407 修正相容。

建議您升級 libmodule-signature-perl 及 libtest-signature-perl 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。