現已提供適用於 Red Hat Enterprise Linux 4 和 5 的更新版 perl 套件，可修正多個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Perl 是一種高階的程式設計語言，通常用於系統管理公用程式和網頁程式設計。

據發現，Digest 模組的 'new' 建構函式使用其引數作為傳遞給 eval() 函式之字串運算式的一部分。攻擊者可能會利用此瑕疵，以使用了未受信任的輸入作為建構函式引數的 Perl 程式之權限，執行任意 Perl 程式碼。(CVE-2011-3597)

據發現，Perl CGI 模組對 multipart/x-mixed-replace 內容中的 MIME 邊界字串使用硬式編碼值。遠端攻擊者可利用此瑕疵，透過特製的 HTTP 要求進行 HTTP 回應。(CVE-2010-2761)

Perl CGI 模組處理標頭中前帶新行字元的非空白序列時，發現了 CRLF 插入瑕疵。遠端攻擊者可利用此瑕疵，透過提供給 CGI 模組的特製字元序列，發動 HTTP 回應分割攻擊。(CVE-2010-4410)

建議所有 Perl 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。必須重新啟動所有執行的 Perl 程式，此更新才會生效。

據發現，Encode 模組中的 decode_xs 函式容易透過特製的 Unicode 字串，受到堆積型緩衝區溢位影響。攻擊者可利用此溢位問題造成拒絕服務。(CVE-2011-2939)

據發現，Digest 模組中的 'new' 建構函式容易受到 eval 插入的影響。攻擊者可利用此弱點執行任意程式碼。(CVE-2011-3597)

據發現，Perl 的「x」字串重複運算子容易受到堆積型緩衝區溢位攻擊。攻擊者可利用此弱點執行任意程式碼。(CVE-2012-5195)

Ryo Anazawa 發現，CGI.pm 模組未正確逸出 Set-Cookie 或 P3P (隱私權喜好設定專案平台) 標頭中的新行。攻擊者可利用這點，將任意標頭從使用 CGI.pm 的應用程式插入回應中。
(CVE-2012-5526)。

來自 Red Hat 安全性公告 2011:1424：

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 perl 套件，可修正兩個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Perl 是一種高階的程式設計語言，通常用於系統管理公用程式和網頁程式設計。

在 Perl 解碼 Unicode 字串的方式中發現一個堆積型緩衝區溢位瑕疵。攻擊者可建立惡意的 Unicode 字串，Perl 程式解碼該字串時會造成程式損毀，或可能利用執行程式的使用者權限執行任意程式碼。(CVE-2011-2939)

據發現，Digest 模組的 'new' 建構函式使用其引數作為傳遞給 eval() 函式之字串運算式的一部分。攻擊者可能會利用此瑕疵，以使用了未受信任的輸入作為建構函式引數的 Perl 程式之權限，執行任意 Perl 程式碼。(CVE-2011-3597)

建議所有 Perl 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。必須重新啟動所有執行的 Perl 程式，此更新才會生效。

a. JRE 1.6.0 Update 31 的 vCenter 和 ESX 更新

   Oracle (Sun) JRE 已更新至 1.6.0_31 版，可解決多個安全性問題。Oracle 在 2012 年 2 月 Oracle Java SE 重要修補程式更新公告中記錄已在此更新中解決的 CVE 識別碼。

b. JRE 1.5.0 Update 36 的 vCenter Update Manager 更新

   Oracle (Sun) JRE 已更新至 1.5.0_36 版，可解決多個安全性問題。Oracle 已在 2012 年 6 月 Oracle Java SE 重要修補程式更新公告中記錄 JRE 1.5.0_36 已解決的 CVE 識別碼。

c. ESX/ESXi userworld OpenSSL 程式庫的更新

   ESX/ESXi userworld OpenSSL 程式庫已從 0.9.8p 版更新至 0.9.8t 版，可解決多個安全性問題。

   Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已指派名稱 CVE-2010-4180、CVE-2010-4252、CVE-2011-0014、CVE-2011-4108、CVE-2011-4109、CVE-2011-4576、CVE-2011-4577、CVE-2011-4619 和 CVE-2012-0050 給這些問題。

d. ESX 服務主控台 OpenSSL RPM 的更新

   服務主控台 OpenSSL RPM 已更新至 0.9.8e-22.el5_8.3 版，可解決一個安全性問題。

   Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已將名稱 CVE-2012-2110 指派給此問題。

e. ESX 服務主控台核心的更新

   ESX 服務主控台核心已更新，可解決多個安全性問題。

   Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已指派名稱 CVE-2011-1833、CVE-2011-2484、CVE-2011-2496、CVE-2011-3188、CVE-2011-3209、CVE-2011-3363、CVE-2011-4110、CVE-2011-1020、CVE-2011-4132、CVE-2011-4324、CVE-2011-4325、CVE-2012-0207、CVE-2011-2699 和 CVE-2012-1583 給這些問題。

f. ESX 服務主控台 Perl RPM 的更新

   ESX 服務主控台 Perl RPM 已更新至 perl-5.8.8.32.1.8999.vmw 版，可解決多個安全性問題。

   Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已將名稱 CVE-2010-2761、CVE-2010-4410 和 CVE-2011-3597 指派給這些問題。

g. ESX 服務主控台 libxml2 RPM 的更新

   ESX 服務主控台 libmxl2 RPM 已更新至 libxml2-2.6.26-2.1.15.el5_8.2 和 libxml2-python-2.6.26-2.1.15.el5_8.2，可解決一個安全性問題。

   Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已將名稱 CVE-2012-0841 指派給此問題。

h. ESX 服務主控台 glibc RPM 的更新

   ESX 服務主控台 glibc RPM 已更新至 glibc-2.5-81.el5_8.1 版，可解決多個安全性問題。

   Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已指派名稱 CVE-2009-5029、CVE-2009-5064、CVE-2010-0830、CVE-2011-1089、CVE-2011-4609 和 CVE-2012-0864 給這些問題。

i. ESX 服務主控台 GnuTLS RPM 的更新

   ESX 服務主控台 GnuTLS RPM 已更新至 1.4.1-7.el5_8.2 版，可解決多個安全性問題。

   Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已將名稱 CVE-2011-4128、CVE-2012-1569 和 CVE-2012-1573 指派給這些問題。

j. ESX 服務主控台 popt、rpm、rpm-libs 和 rpm-python RPMS 的更新

   ESX 服務主控台 popt、rpm、rpm-libs 和 rpm-python RPMS 已更新至下列版本，可解決多個安全性問題：
      - popt-1.10.2.3-28.el5_8
      - rpm-4.4.2.3-28.el5_8
      - rpm-libs-4.4.2.3-28.el5_8
      - rpm-python-4.4.2.3-28.el5_8

   Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已指派名稱 CVE-2012-0060、CVE-2012-0061 和 CVE-2012-0815 給這些問題。

k. 第三方 Apache Struts 元件中的弱點

   vCenter Operations 中的 Apache Struts 版本已更新至 2.3.4 版，可解決一個任意檔案覆寫弱點。此弱點允許攻擊者在未經驗證的情況下覆寫任意檔案，從而造成拒絕服務。攻擊者將需要與 vCOps 安裝所在的系統位於相同的網路範圍內。

   Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已將名稱 CVE-2012-0393 指派給此問題。

   注意：Apache struts 2.3.4 也可解決下列問題： 
   CVE-2011-5057、CVE-2012-0391、CVE-2012-0392、CVE-2012-0394。據發現，這些問題都不影響 vCOps。

   VMware 要感謝 ERPScan 的 Alexander Minozhenko 向我們報告此問題。

在 perl 中發現多個弱點並已更正：

在 5.15.6 之前版本的 Perl 所用的 2.44 之前版本的 Encode 模組中，Unicode/Unicode.xs 的 decode_xs 函式有一個差一錯誤，可能允許內容相依的攻擊者透過特製的 Unicode 字串觸發堆積型緩衝區溢位，從而造成拒絕服務 (記憶體損毀) (CVE-2011-2939)。

Perl 1.17 版之前的 Digest 模組中存有 Eval 插入，這會允許內容相依的攻擊者透過新的建構函式執行任意命令 (CVE-2011-3597)。

已修補更新版套件，以更正這些問題。

遠端主機受到 GLSA-201401-33 中所述的弱點影響 (Perl Digest-Base 模組：任意程式碼執行)

此弱點是因為 &ldquo;Digest->new()&rdquo; 函式尚未正確清理輸入就在 &ldquo;eval()&rdquo; 呼叫中加以使用所導致。
 影響：

該弱點可能允許攻擊者執行任意程式碼。
 因應措施：

目前尚無已知的因應措施。

Perl 是一種高階的程式設計語言，通常用於系統管理公用程式和網頁程式設計。

在 Perl 解碼 Unicode 字串的方式中發現一個堆積型緩衝區溢位瑕疵。攻擊者可建立惡意的 Unicode 字串，Perl 程式解碼該字串時會造成程式損毀，或可能利用執行程式的使用者權限執行任意程式碼。(CVE-2011-2939)

據發現，Digest 模組的 'new' 建構函式使用其引數作為傳遞給 eval() 函式之字串運算式的一部分。攻擊者可能會利用此瑕疵，以使用了未受信任的輸入作為建構函式引數的 Perl 程式之權限，執行任意 Perl 程式碼。(CVE-2011-3597)

建議所有 Perl 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。必須重新啟動所有執行的 Perl 程式，此更新才會生效。

在 Perl 解碼 Unicode 字串的方式中發現一個堆積型緩衝區溢位瑕疵。攻擊者可建立惡意的 Unicode 字串，Perl 程式解碼該字串時會造成程式損毀，或可能利用執行程式的使用者權限執行任意程式碼。(CVE-2011-2939)

據發現，Digest 模組的 'new' 建構函式使用其引數作為傳遞給 eval() 函式之字串運算式的一部分。攻擊者可能會利用此瑕疵，以使用了未受信任的輸入作為建構函式引數的 Perl 程式之權限，執行任意 Perl 程式碼。(CVE-2011-3597)

遠端 VMware ESX / ESXi 主機缺少安全性相關修補程式。
因此受到數個第三方程式庫中的多個弱點影響，包括遠端程式碼執行弱點：

- Apache Struts
 - glibc
 - GnuTLS
 - JRE
 - kernel
 - libxml2
 - OpenSSL
 - Perl
 - popt 和 rpm

远程 Solaris 系统缺少用于处理安全更新的必要修补程序：

- Perl 1.17 之前的 Digest 模块中的 Eval 注入漏洞可允许上下文有关的攻击者通过新的构造函数执行任意命令。
 (CVE-2011-3597)

更新后的 perl 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 4 和 5。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Perl 是一种通常用于系统管理实用工具和 Web 编程的高级编程语言。

发现 Digest 模块的“new”构造函数将其参数用作传递到 eval() 函数的字符串表达式的一部分。攻击者可能利用此缺陷以 Perl 程序的权限执行任意 Perl 代码，该 Perl 程序将不受信任的输入用作构造函数的参数。(CVE-2011-3597)

已发现 Perl CGI 模块针对 multipart/x-mixed-replace 内容中的 MIME 边界字符串使用硬编码值。远程攻击者可能利用此缺陷通过特别构建的 HTTP 请求执行 HTTP 响应拆分攻击。(CVE-2010-2761)

在 Perl CGI 模块处理标头中一系列前跟换行符的非空白内容的方式中发现 CRLF 注入缺陷。远程攻击者可以利用此缺陷通过特别构建的一系列提供给 CGI 模块的字符执行 HTTP 响应拆分攻击。(CVE-2010-4410)

所有 Perl 用户应升级至这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动所有正在运行的 Perl 程序才能使此更新生效。

发现 Encode 模块中的 decode_xs 函数容易受到通过构建的 Unicode 字符串造成的基于堆的缓冲区溢出的影响。攻击者可使用此溢出来造成拒绝服务。(CVE-2011-2939)

发现 Digest 模块中的“new”构造函数容易受到 eval 注入的影响。攻击者可利用此漏洞执行任意代码。(CVE-2011-3597)

已发现 Perl 的“x”字符串重复运算符容易受到基于堆的缓冲区溢出的影响。攻击者可利用此漏洞执行任意代码。(CVE-2012-5195)

Ryo Anazawa 发现 CGI.pm 模块未正确转义 Set-Cookie 或 P3P（个人隐私安全平台项目）标头中的换行符。攻击者可使用此问题将任意标头注入使用 CGI.pm 的应用程序的响应。
(CVE-2012-5526)。

来自 Red Hat 安全公告 2011:1424：

更新后的 perl 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Perl 是一种通常用于系统管理实用工具和 Web 编程的高级编程语言。

在 Perl 解码 Unicode 字符串的方式中发现一个基于堆的缓冲区溢出缺陷。攻击者可创建恶意 Unicode 字符串，当由 Perl 程序进行解码时，将导致该程序崩溃，或可能以运行该程序的用户权限执行任意代码。(CVE-2011-2939)

发现 Digest 模块的“new”构造函数将其参数用作传递到 eval() 函数的字符串表达式的一部分。攻击者可能利用此缺陷以 Perl 程序的权限执行任意 Perl 代码，该 Perl 程序将不受信任的输入用作构造函数的参数。(CVE-2011-3597)

所有 Perl 用户应升级至这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动所有正在运行的 Perl 程序才能使此更新生效。

a. JRE 1.6.0 Update 31 的 vCenter 和 ESX 更新

   Oracle (Sun) JRE 已更新到 1.6.0_31，其中解决了多种安全问题。Oracle 在 2012 年 2 月的 Oracle Java SE 关键修补程序更新公告中记载了由此更新解决的 CVE 标识符。

b. JRE 1.5.0 Update 36 的 vCenter Update Manager 更新

   Oracle (Sun) JRE 已更新到 1.5.0_36，解决了多种安全问题。Oracle 在 2012 年 6 月的 Oracle Java SE 关键修补程序更新公告中记载了 JRE 1.5.0_36 中解决的 CVE 标识符。

c. ESX/ESXi userworld OpenSSL 库的更新

   ESX/ESXi userworld OpenSSL 库已从版本 0.9.8p 更新到版本 0.9.8t，解决了多种安全问题。

   通用漏洞和暴露计划 (cve.mitre.org) 为这些问题分配了名称 CVE-2010-4180、CVE-2010-4252、CVE-2011-0014、CVE-2011-4108、CVE-2011-4109、CVE-2011-4576、CVE-2011-4577、CVE-2011-4619 和 CVE-2012-0050。

d. ESX 服务控制台 OpenSSL RPM 的更新

   服务控制台 OpenSSL RPM 已更新到版本 0.9.8e-22.el5_8.3，解决了一个安全问题。

   通用漏洞和暴露计划 (cve.mitre.org) 已为此问题分配名称 CVE-2012-2110。

e. ESX 服务控制台内核的更新

   更新 ESX 服务控制台内核以解决多种安全问题。

   通用漏洞和暴露计划 (cve.mitre.org) 为这些问题分配了名称 CVE-2011-1833、CVE-2011-2484、CVE-2011-2496、CVE-2011-3188、CVE-2011-3209、CVE-2011-3363、CVE-2011-4110、CVE-2011-1020、CVE-2011-4132、CVE-2011-4324、CVE-2011-4325、CVE-2012-0207、CVE-2011-2699 和 CVE-2012-1583。

f. ESX 服务控制台 Perl RPM 的更新

   ESX 服务控制台 Perl RPM 已更新到 perl-5.8.8.32.1.8999.vmw，解决了多种安全问题。

   通用漏洞和暴露计划 (cve.mitre.org) 已为这些问题分配了名称 CVE-2010-2761、CVE-2010-4410 和 CVE-2011-3597。

g. ESX 服务控制台 libxml2 RPM 的更新

   ESX 服务控制台 libmxl2 RPM 已更新到 libxml2-2.6.26-2.1.15.el5_8.2 和 libxml2-python-2.6.26-2.1.15.el5_8.2，解决了一个安全问题。

   通用漏洞和暴露计划 (cve.mitre.org) 已为此问题分配名称 CVE-2012-0841。

h. ESX 服务控制台 glibc RPM 的更新

   ESX 服务控制台 glibc RPM 已更新到版本 glibc-2.5-81.el5_8.1，解决了多种安全问题。

   通用漏洞和暴露计划 (cve.mitre.org) 为这些问题分配了名称 CVE-2009-5029、CVE-2009-5064、CVE-2010-0830、CVE-2011-1089、CVE-2011-4609 和 CVE-2012-0864。

i. ESX 服务控制台 GnuTLS RPM 的更新

   ESX 服务控制台 GnuTLS RPM 已更新到版本 1.4.1-7.el5_8.2，解决了多种安全问题。

   通用漏洞和暴露计划 (cve.mitre.org) 已为这些问题分配了名称 CVE-2011-4128、CVE-2012-1569 和 CVE-2012-1573。

j。ESX 服务控制台 popt、rpm、rpm-libs 和 rpm-python RPM 的更新

   ESX 服务控制台 popt、rpm、rpm-libs 和 rpm-python RPM 已更新到以下版本，解决了多个安全问题：
      - popt-1.10.2.3-28.el5_8
      - rpm-4.4.2.3-28.el5_8
      - rpm-libs-4.4.2.3-28.el5_8
      - rpm-python-4.4.2.3-28.el5_8

   通用漏洞和暴露计划 (cve.mitre.org) 已为这些问题分配了名称 CVE-2012-0060、CVE-2012-0061 和 CVE-2012-0815。

k. 第三方 Apache Struts 组件中的漏洞

   vCenter Operations 中的 Apache Struts 版本已更新到 2.3.4，其中解决了一个任意文件覆盖漏洞。此漏洞允许攻击者在未经认证的情况下通过覆盖任意文件造成拒绝服务。攻击者需要与安装了 vCOps 的系统处于同一网络中。

   通用漏洞和暴露计划 (cve.mitre.org) 已为此问题分配名称 CVE-2012-0393。

   注意：Apache struts 2.3.4 还解决了以下问题：
   CVE-2011-5057、CVE-2012-0391、CVE-2012-0392、CVE-2012-0394。已发现这些问题不影响 vCOps。

   VMware 在此感谢 ERPScan 的 Alexander Minozhenko，向我们报告此问题。

ID	名稱	產品	系列	已發布	已更新	嚴重性
57068	CentOS 4 / 5 : perl (CESA-2011:1797)	Nessus	CentOS Local Security Checks	2011/12/12	2021/1/4	high
63109	Ubuntu 8.04 LTS / 10.04 LTS / 11.10 / 12.04 LTS / 12.10：perl 弱點 (USN-1643-1)	Nessus	Ubuntu Local Security Checks	2012/11/30	2019/9/19	high
68383	Oracle Linux 6 : perl (ELSA-2011-1424)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high
61747	VMSA-2012-0013：第三方程式庫的 VMware vSphere 和 vCOps 更新	Nessus	VMware ESX Local Security Checks	2012/8/31	2021/1/6	critical
57593	Mandriva Linux 安全性公告：perl (MDVSA-2012:008)	Nessus	Mandriva Local Security Checks	2012/1/19	2021/1/6	high
72207	GLSA-201401-33：Perl Digest-Base 模組：任意程式碼執行	Nessus	Gentoo Local Security Checks	2014/1/30	2021/1/6	high
61169	Scientific Linux 安全性更新：SL6.x i386/x86_64 上的 perl	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	high
69578	Amazon Linux AMI : perl (ALAS-2011-19)	Nessus	Amazon Linux Local Security Checks	2013/9/4	2018/4/18	high
89038	VMware ESX / ESXi 第三方程式庫多個弱點 (VMSA-2012-0013) (遠端檢查)	Nessus	Misc.	2016/2/29	2021/1/6	high
80733	Oracle Solaris 第三方修补程序更新：perl-58 (cve_2011_3597_improper_input)	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	high
57068	CentOS 4 / 5：perl (CESA-2011:1797)	Nessus	CentOS Local Security Checks	2011/12/12	2021/1/4	high
63109	Ubuntu 8.04 LTS / 10.04 LTS / 11.10 / 12.04 LTS / 12.10：perl 漏洞 (USN-1643-1)	Nessus	Ubuntu Local Security Checks	2012/11/30	2019/9/19	high
68383	Oracle Linux 6：perl (ELSA-2011-1424)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high
61747	VMSA-2012-0013 ：第三方库的 VMware vSphere 和 vCOps 更新	Nessus	VMware ESX Local Security Checks	2012/8/31	2021/1/6	critical

偵測

搜尋 Plugin

high

high

high

critical

high

high

high

high

high

high

high

high

high

critical