Updated perl-HTTP-Body package fixes security vulnerability :

Jonathan Dolle reported a design error in HTTP::Body, a Perl module for processing data from HTTP POST requests. The HTTP body multipart parser creates temporary files which preserve the suffix of the uploaded file. An attacker able to upload files to a service that uses HTTP::Body::Multipart could potentially execute commands on the server if these temporary filenames are used in subsequent commands without further checks (CVE-2013-4407).

更新済みの perl-HTTP-Body パッケージは、次のセキュリティの脆弱性を修正します：

Jonathan Dolle が、HTTP POST リクエストからのデータを処理するための Perl モジュールである HTTP::Body の、設計エラーを報告しました。HTTP 本文のマルチパートパーサーにより、アップロードされたファイルの接尾辞を保持する一時ファイルが、作成されます。これらの一時ファイル名がさらなるチェックを受けることなくその後のコマンドで使用される場合、HTTP::Body::Multipart を使用するサービスにファイルをアップロードできる攻撃者が、サーバー上でコマンドを実行する可能性があります（CVE-2013-4407）。

Jonathan Dolle reported a design error in HTTP::Body, a Perl module for processing data from HTTP POST requests. The HTTP body multipart parser creates temporary files which preserve the suffix of the uploaded file. An attacker able to upload files to a service that uses HTTP::Body::Multipart could potentially execute commands on the server if these temporary filenames are used in subsequent commands without further checks.

This update restricts the possible suffixes used for the created temporary files.

The oldstable distribution (squeeze) is not affected by this problem.

perl-HTTP-Body was updated to 1.19 and also received a security fix for a potential remote code injection when upload files.

更新版 perl-HTTP-Body 套件可修正安全性弱點：

Jonathan Dolle 報告，Perl 模組 HTTP::Body (用於處理來自 HTTP POST 要求的資料) 中存在一個設計錯誤。HTTP 內文多重剖析器所建立的暫存檔，會保留已上傳檔案的副檔名。若攻擊者可上傳檔案到使用 HTTP::Body::Multipart 的服務，且後續命令使用這些暫存檔名時若未進一步檢查，則可能在伺服器上執行命令 (CVE-2013-4407)。

更新后的 perl-HTTP-Body 程序包修复了以下安全漏洞：

Jonathan Dolle 报告 HTTP::Body（一个用于处理 HTTP POST 请求中数据的 Perl 模块）中存在设计错误。HTTP 正文多部分解析器会创建其中保留已上传文件后缀的临时文件。能够将文件上传到使用 HTTP::Body::Multipart 的服务的攻击者可能会在服务器上执行命令，前提是在未经更多检查的情况下在后续命令中使用这些临时文件名 (CVE-2013-4407)。

Jonathan Dolle が、HTTP POST リクエストからのデータを処理するための Perl モジュールである HTTP::Body の、設計エラーを報告しました。HTTP 本文のマルチパートパーサーにより、アップロードされたファイルの接尾辞を保持する一時ファイルが、作成されます。これらの一時ファイル名がさらなるチェックを受けることなくその後のコマンドで使用される場合、HTTP::Body::Multipart を使用するサービスにファイルをアップロードできる攻撃者が、サーバー上でコマンドを実行する可能性があります。

この更新は、作成された一時ファイルに使用される可能性のあるサフィックスを制限します。

旧安定版（oldstable）ディストリビューション（squeeze）は、この課題の影響を受けません。

perl-HTTP-Body は 1.19 に更新され、ファイルアップロードの際の潜在的なリモートコード注入に対するセキュリティ修正が提供されました。

Jonathan Dolle 報告，Perl 模組 HTTP::Body (用於處理來自 HTTP POST 要求的資料) 中存在一個設計錯誤。HTTP 內文多重剖析器所建立的暫存檔，會保留已上傳檔案的副檔名。若攻擊者可上傳檔案到使用 HTTP::Body::Multipart 的服務，且後續命令使用這些暫存檔名時若未進一步檢查，則可能在伺服器上執行命令。

此更新可限制已建立暫存檔可能使用的後置詞。

舊的穩定發行版本 (squeeze) 不會受此問題影響。

perl-HTTP-Body 已更新至 1.19，而且亦收到一個安全性修正，以修正上傳檔案時可能發生的遠端程式碼插入。

perl-HTTP-Body 已更新到 1.19，还收到了针对上传文件时可能的远程代码注入的安全补丁。

Jonathan Dolle 报告 HTTP::Body（一个用于处理 HTTP POST 请求中数据的 Perl 模块）中存在设计错误。HTTP 正文多部分解析器会创建其中保留已上传文件后缀的临时文件。能够将文件上传到使用 HTTP::Body::Multipart 的服务的攻击者可能会在服务器上执行命令，前提是在未经更多检查的情况下在后续命令中使用这些临时文件名。

此更新限制了用于所创建的临时文件的可能后缀。

旧稳定发行版本 (squeeze) 不受此问题的影响。

ID	名稱	產品	系列	已發布	已更新	嚴重性
71091	Mandriva Linux Security Advisory : perl-HTTP-Body (MDVSA-2013:282)	Nessus	Mandriva Local Security Checks	2013/11/26	2021/1/6	medium
71091	Mandriva Linux セキュリティアドバイザリ：perl-HTTP-Body（MDVSA-2013:282）	Nessus	Mandriva Local Security Checks	2013/11/26	2021/1/6	medium
71025	Debian DSA-2801-1 : libhttp-body-perl - design error	Nessus	Debian Local Security Checks	2013/11/22	2021/1/11	medium
75305	openSUSE Security Update : perl-HTTP-Body (openSUSE-SU-2014:0433-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
71091	Mandriva Linux 安全性公告：perl-HTTP-Body (MDVSA-2013:282)	Nessus	Mandriva Local Security Checks	2013/11/26	2021/1/6	medium
71091	Mandriva Linux 安全公告：perl-HTTP-Body (MDVSA-2013:282)	Nessus	Mandriva Local Security Checks	2013/11/26	2021/1/6	medium
71025	Debian DSA-2801-1：libhttp-body-perl - デザインエラー	Nessus	Debian Local Security Checks	2013/11/22	2021/1/11	medium
75305	openSUSE セキュリティ更新：perl-HTTP-Body（openSUSE-SU-2014:0433-1）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
71025	Debian DSA-2801-1：libhttp-body-perl - 設計錯誤	Nessus	Debian Local Security Checks	2013/11/22	2021/1/11	medium
75305	openSUSE 安全性更新：perl-HTTP-Body (openSUSE-SU-2014:0433-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
75305	openSUSE 安全更新：perl-HTTP-Body (openSUSE-SU-2014:0433-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
71025	Debian DSA-2801-1：libhttp-body-perl - 设计错误	Nessus	Debian Local Security Checks	2013/11/22	2021/1/11	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium