這可修正 CVE-2016-6185 弱點 (不讓 XSLoader 載入相對路徑)。

請注意，Tenable Network Security 已直接從 Fedora 更新系統網站擷取前置描述區塊。
Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Perl 程式設計語言的實作中發現多個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：

CVE-2016-1238

John Lightsey 與 Todd Rinaldo 報告，機會性載入選用模組可使許多程式意外從目前工作目錄 (其可能在使用者不知情的情況下變更為其他目錄) 載入程式碼，並可能導致權限提升，含特定已安裝套件組合的 Debian 即為一例。

此問題與 Perl 從包含目錄陣列 ('@INC') 中載入模組有關，其中的最後一個元素就是目前目錄 ('.')。這表示「perl」想要載入模組 (在執行時間第一次編譯或消極載入模組時) 時，perl 會在末端的目前目錄中尋找模組，因為「.」是其要尋找之包含目錄陣列中的最後一個包含目錄。問題在於位於「.」中但未以其他方式安裝的需要程式庫。

透過此更新，已知受影響的數個模組會更新為不從目前目錄載入模組。

此外，更新允許在轉換期間從 /etc/perl/sitecustomize.pl 中的 @INC 對「.」進行可設定移除。如果評估到特定網站可能發生中斷情形，建議啟用此設定。
在 Debian 內提供的套件中，因切換至從 @INC 中移除「.」所導致的問題應向 Perl 維護人員報告，地址為 perl@packages.debian.org。

CVE-2016-6185

據發現，用於將 C 程式庫動態載入 Perl 程式碼的 Perl 核心模組 XSLoader 可能從不正確的位置載入共用程式碼。XSLoader 使用 caller() 資訊來尋找要載入的 .so 檔案。如果在字串 eval 中呼叫 XSLoader::load()，這可能會不正確。攻擊者可利用此瑕疵執行任意程式碼。

針對 Debian 7「Wheezy」，這些問題已在 5.14.2-21+deb7u4 版本中修正。

建議您升級 perl 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此 Perl 更新可修正下列問題：

- CVE-2016-6185：Xsloader 查看「(eval)」目錄。
 (bsc#988311)

- CVE-2016-1238：在目前目錄中搜尋選用模組。(bsc#987887)

- CVE-2015-8853：在遇到錯誤的 utf8 時懸置的規則運算式引擎。(bsc)

- CVE-2016-2381：環境 dup 處理錯誤。
 (bsc#967082)

- 污染模式下的「需求中的不安全相依性」錯誤。
 (bsc#984906)

-「use utf8」處理中的記憶體洩漏。(bsc#928292)

- 遺漏除錯程式的鎖定原型。(bsc#932894)

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此 Perl 更新可修正下列問題：

- CVE-2016-6185：Xsloader 查看「(eval)」目錄。
 (bsc#988311)

- CVE-2016-1238：在目前目錄中搜尋選用模組。(bsc#987887)

- CVE-2015-8853：在遇到錯誤的 utf8 時懸置的規則運算式引擎。(bsc)

- CVE-2016-2381：環境 dup 處理錯誤。
 (bsc#967082)

- 污染模式下的「需求中的不安全相依性」錯誤。
 (bsc#984906)

-「use utf8」處理中的記憶體洩漏。(bsc#928292)

- 遺漏除錯程式的鎖定原型。(bsc#932894)

此更新是從 SUSE:SLE-12:Update 更新專案匯入。

遠端主機受到 GLSA-201701-75 中所述的弱點影響 (Perl：多個弱點) 在 Perl 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。影響：遠端攻擊者可能以處理程序的權限執行任意程式碼、造成拒絕服務情況或提升權限。因應措施：目前尚無已知的因應措施。

據發現，Perl 未正確處理規則運算式。攻擊者可能會利用此問題造成 Perl 懸置，進而導致拒絕服務。這個問題只會影響 Ubuntu 14.04 LTS。(CVE-2015-8853)

據發現，Perl 未正確從目前的工作目錄載入程式庫。本機攻擊者可能利用此問題執行任意程式碼。此問題僅影響了 Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2016-6185)

據發現，Perl 未正確處理 rmtree 和 remove_tree 函式。本機攻擊者可能會利用此問題設定任意檔案的模式。此問題僅影響了 Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2017-6512)

Brian Carpenter 發現 Perl 未正確處理某些規則運算式。攻擊者可利用此問題造成 Perl 損毀，進而導致拒絕服務，或可能執行任意程式碼。此問題僅在 Ubuntu 16.04 LTS 和 Ubuntu 17.10 中得到了解決。(CVE-2018-6797)

Nguyen Duc Manh 發現，Perl 未正確處理某些規則運算式。攻擊者可利用此問題造成 Perl 損毀，進而導致拒絕服務。此問題僅影響 Ubuntu 16.04 LTS 和 Ubuntu 17.10。(CVE-2018-6798)

GwanYeong Kim 發現 Perl 在使用 pack 函式時，未正確處理某些資料。攻擊者可利用此問題造成 Perl 損毀，進而導致拒絕服務或可能執行任意程式碼。(CVE-2018-6913)。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Perl 程式設計語言的實作中發現多個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：

- CVE-2016-1238 John Lightsey 與 Todd Rinaldo 報告，機會性載入選用模組可使許多程式意外從目前工作目錄 (其可能在使用者不知情的情況下變更為其他目錄) 載入程式碼，並可能導致權限提升，含特定已安裝套件組合的 Debian 即為一例。

此問題與 Perl 從包含目錄陣列 ('@INC') 中載入模組有關，其中的最後一個元素就是目前目錄 ('.')。這表示「perl」想要載入模組 (在執行時間第一次編譯或消極載入模組時) 時，perl 會在末端的目前目錄中尋找模組，因為「.」是其要尋找之包含目錄陣列中的最後一個包含目錄。問題在於位於「.」中但未以其他方式安裝的需要程式庫。

透過此更新，已知受影響的數個模組會更新為不從目前目錄載入模組。

此外，更新允許在轉換期間從 /etc/perl/sitecustomize.pl 中的 @INC 對「.」進行可設定移除。如果評估到特定網站可能發生中斷情形，建議啟用此設定。在 Debian 內提供的套件中，因切換至從 @INC 中移除「.」所導致的問題應向 Perl 維護人員報告，地址為 perl@packages.debian.org。

如果可能，規劃在 perl 的後續更新中透過重點版本切換為 @INC 中「.」的預設移除，而且在即將發行的穩定版本 Debian 9 (stretch) 中一定會切換。

- CVE-2016-6185 據發現，用於將 C 程式庫動態載入 Perl 程式碼的 Perl 核心模組 XSLoader 可能從不正確的位置載入共用程式碼。XSLoader 使用 caller() 資訊來尋找要載入的 .so 檔案。如果在字串 eval 中呼叫 XSLoader::load()，這可能會不正確。攻擊者可利用此瑕疵執行任意程式碼。

Jakub Wilk 報告：

XSLoader 嘗試在於字串 eval 內部呼叫時，從 cwd 中的子目錄載入程式碼

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 Perl 的 XSLoader 中，XSLoader::load 方法在字串 eval 中呼叫時，並未正確尋找 .so 檔案，其可能允許本機使用者透過目前工作目錄下的特洛伊木馬程式庫執行任意程式碼。 (CVE-2016-6185)

請注意，Nessus 依賴供應商報告的套件存在。

此 perl 更新可修正下列問題：

- CVE-2016-6185：xsloader 查看「(eval)」目錄 [bsc#988311]

- CVE-2016-1238：在目前目錄中搜尋選用模組 [bsc#987887]

- CVE-2015-8853：regex 引擎在錯誤的 utf8 上懸置 [bnc976584]

- CVE-2016-2381：環境 dup 處理錯誤 [bsc#967082]

- utf8_mg_pos_cache_update 的 perl 錯誤 [bsc#929027]

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	產品	系列	已發布	已更新	嚴重性
92335	Fedora 22︰4:perl (2016-eb2592245b)	Nessus	Fedora Local Security Checks	2016/7/18	2026/2/2	high
92613	Debian DLA-565-1：perl 安全性更新	Nessus	Debian Local Security Checks	2016/7/29	2026/1/30	high
93437	SUSE SLED12 / SLES12 安全性更新：perl (SUSE-SU-2016:2263-1)	Nessus	SuSE Local Security Checks	2016/9/12	2026/1/26	high
93583	openSUSE 安全性更新：perl (openSUSE-2016-1086)	Nessus	SuSE Local Security Checks	2016/9/19	2026/1/23	high
96861	GLSA-201701-75：Perl：多個弱點	Nessus	Gentoo Local Security Checks	2017/1/30	2026/1/2	high
109086	Ubuntu 14.04 LTS / 16.04 LTS：Perl 弱點 (USN-3625-1)	Nessus	Ubuntu Local Security Checks	2018/4/17	2025/9/3	critical
92386	Fedora 24︰4:perl (2016-485dff6060)	Nessus	Fedora Local Security Checks	2016/7/19	2026/1/30	high
92548	Debian DSA-3628-1：perl - 安全性更新	Nessus	Debian Local Security Checks	2016/7/26	2026/1/30	high
92739	FreeBSD：p5-XSLoader -- 本機任意程式碼執行 (3e08047f-5a6c-11e6-a6c3-14dae9d210b8)	Nessus	FreeBSD Local Security Checks	2016/8/5	2026/1/29	high
219825	Linux Distros 未修補弱點：CVE-2016-6185	Nessus	Misc.	2025/3/4	2025/9/3	high
92388	Fedora 23︰4:perl (2016-742bde2be7)	Nessus	Fedora Local Security Checks	2016/7/19	2026/1/30	high
93371	SUSE SLES11 安全性更新：perl (SUSE-SU-2016:2246-1)	Nessus	SuSE Local Security Checks	2016/9/8	2026/1/27	high

偵測

搜尋 Plugin

high

high

high

high

high

critical

high

high

high

high

high

high