Debian DLA-320-1：libemail-address-perl 安全性更新

high Nessus Plugin ID 86212

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

Pali Rohár 發現 [1] 在使用 Email::Address Perl 模組將字串輸入剖析至電子郵件地址清單的任何軟體中皆有可能發生　DoS 攻擊。

依預設，v1.907 版本 (及所有之前版本) 的 Email::Address 模組會嘗試瞭解深度層級為 2 之輸入字串中的可嵌套註解。

在特製的輸入之下，剖析可嵌套註解會變得太慢，並可造成高 CPU 負載、凍結應用程式，並因拒絕服務而結束。

由於 Email::Address 模組的輸入字串來自外部來源 (例如來自攻擊者傳送的電子郵件)，因此這是一個影響所有軟體應用程式的安全性問題，其會使用 Email::Address Perl 模組剖析電子郵件訊息。

透過此 libemail-address-perl 上傳，可嵌套註解的預設值已設定為深度層級 1 (如上游所建議)。請注意，這並不是一個適當的修正，而只是一個具有可嵌套註解之病態輸入的的因應措施。

[1] http://www.openwall.com/lists/oss-security/2015/09/27/1

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。