遠端 Oracle Linux 6 主機中安裝的套件受到 ELSA-2011-0558 公告中提及的多個弱點影響。

  - 在 (1) 3.50 版以前的 CGI.pm 和 (2) CGI: : Simple 1.112 和更舊版本的 Simple.pm 中，multipart_init 函式在 multipart/x-mixed-replace 內容中使用硬式編碼的 MIME 邊界字串值，這允許遠端攻擊者透過含有此值的特製輸入插入任意 HTTP 標頭和發動 HTTP 回應分割攻擊；此弱點與 CVE-2010-3172 不同。(CVE-2010-2761)

  - 在 (1) 3.50 版以前的 CGI.pm 與 (2) CGI: : Simple 1.112 和更舊版本的 Simple.pm 中，標頭函式的 CRLF 插入弱點允許遠端攻擊者透過前面有新行字元的非空白字元之相關向量，插入任意 HTTP 標頭和發動 HTTP 回應分割攻擊；此弱點與 CVE-2010-2761 和 CVE-2010-3172 不同。(CVE-2010-4410)

  - Perl 5.10.x、5.11.x 和 5.12.x 至 5.12.3，以及 5.13.x 至 5.13.11 中的 (1) lc、(2) lcfirst、(3) uc 和 (4) ucfirst 函式在處理受污染的輸入時，未套用污染屬性到傳回值，這可允許內容相依的攻擊者透過特製字串繞過污染保護機制。(CVE-2011-1487)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

此更新可修正 perl 中造成 spamassassin 損毀且不再允許利用 lc() 或 uc() 繞過污染模式的錯誤。

- CVE-2010-4777：CVSS v2 基本分數：5.0 (AV:N/AC:L/Au:N/C:P/I:N/A:P)

- CVE-2011-1487：CVSS v2 基本分數：2.6 (AV:N/AC:H/Au:N/C:N/I:P/A:N)：權限、特殊權限和存取控制 (CWE-264)

Perl 是一種高階的程式設計語言，通常用於系統管理公用程式和網頁程式設計。Perl CGI 模組提供用以準備及處理以 Common Gateway Interface (CGI) 為基礎之 HTTP 要求與回應的資源。

據發現，Perl CGI 模組對 multipart/x-mixed-replace 內容中的 MIME 邊界字串使用硬式編碼值。遠端攻擊者可利用此瑕疵，透過特製的 HTTP 要求進行 HTTP 回應。(CVE-2010-2761)

Perl CGI 模組處理標頭中前帶新行字元的非空白序列時，發現了 CRLF 插入瑕疵。遠端攻擊者可利用此瑕疵，透過提供給 CGI 模組的特製字元序列，發動 HTTP 回應分割攻擊。(CVE-2010-4410)

據發現，某些 Perl 字串操控函式 (例如 uc() 與 lc()) 無法保留污染位元。遠端攻擊者可利用此瑕疵，在使用受影響的函式處理受污染輸入的指令碼中，繞過 Perl 的污染模式保護機制。
(CVE-2011-1487)

這些套件會將 CGI 模組升級至 3.51 版。如需完整的變更清單，請參閱〈參照〉中所連結的 CGI 模組變更檔案。

此更新也可修正下列錯誤：

- 使用 'threads' 模組時，若嘗試傳送訊號至未指定訊號處置程式的執行緒，會造成 perl 解譯器意外終止並伴隨分割錯誤。透過此更新，'threads' 模組已更新至上游版本 1.82，修正了這個錯誤。因此，傳送訊號至未指定訊號處置程式的執行緒時，不會再造成 perl 損毀

- 在此更新之前，perl 套件不需要 Digest::SHA 模組做為相依性。因此，使用者啟動 cpan 命令行介面並嘗試從 CPAN 下載發行版本時，系統可能會顯示下列訊息：

CPAN：總和檢查碼安全性檢查已因未安裝 Digest::SHA 而停用。請考慮安裝 Digest::SHA 模組。

此更新更正了 perl 套件需要 perl-Digest-SHA 套件作為相依性的規格檔案，且 cpan 不會再顯示以上訊息。

- 使用 'threads' 模組時，若持續建立與銷毀執行緒，可造成 Perl 程式消耗更多記憶體。透過此更新，基礎原始程式碼已更正為在銷毀執行緒時釋放配置的記憶體，且 Perl 程式中執行緒的持續建立與銷毀不會再導致記憶體洩漏。

- 由於封裝錯誤，perl 套件未包含 'NDBM_File' 模組。此更新可更正該錯誤，現在可如預期包括 'NDBM_File'。

- 在此更新之前，prove(1) 手冊頁面和 'prove --help' 命令將 '--fork' 列為有效的命令行選項。但是，Test::Harness 3.17 發行版本移除了對於 fork 式平行測試的支援，因此 prove 公用程式不再支援此選項。此更新可同時更正手冊頁面和 'prove --help' 命令的輸出，
因此 '--fork' 不再包含在可用命令行選項清單中。

建議 Perl 使用者 (尤其是 Perl 執行緒的使用者) 升級到這些更新版套件，以更正這些問題。

在 perl 中發現一個弱點且已修正：

Perl 5.10.x、5.11.x 和 5.12.x 至 5.12.3，以及 5.13.x 至 5.13.11 中的 (1) lc、(2) lcfirst、(3) uc 和 (4) ucfirst 函式在處理受污染的輸入時，未套用污染屬性到傳回值，這可允許內容相依的攻擊者透過特製字串繞過污染保護機制 (CVE-2011-1487)。

適用於 2009.0 的套件會隨著「延長維護計畫」提供。如需深入瞭解，請造訪這個連結：
http://store.mandriva.com/product_info.php?cPath=149 products_id=490

已修補更新版套件，以更正此問題。

遠端主機受到 GLSA-201311-17 中所述的弱點影響 (Perl：多個弱點)

在 Perl 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

本機攻擊者可使用執行應用程式之使用者的權限，造成拒絕服務情形或發動符號連結攻擊以覆寫任意檔案。內容相依的攻擊者可造成拒絕服務情形。
 因應措施：

目前尚無已知的因應措施。

安全性錯誤：lc 啟動程式污染了資料

http://rt.perl.org/rt3/Public/Bug/Display.html?id=87336

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此更新可修正 Perl 中造成 spamassassin 損毀且不再允許利用 lc() 或 uc() 繞過污染模式的錯誤。

- CVE-2010-4777：CVSS v2 基本分數：5.0 (AV:N/AC:L/Au:N/C:P/I:N/A:P)

- CVE-2011-1487：CVSS v2 基本分數：2.6 (AV:N/AC:H/Au:N/C:N/I:P/A:N)：權限、特殊權限和存取控制 (CWE-264)

此更新可修正 perl 中利用 lc() 或 uc() 繞過污染模式的錯誤。CVE-2011-1487：CVSS v2 基本分數：2.6 (AV:N/AC:H/Au:N/C:N/I:P/A:N)：權限、特殊權限和存取控制。(CWE-264)

據發現，Safe.pm Perl 模組未正確處理 Safe::reval 及 Safe::rdo 存取限制。攻擊者可利用此瑕疵繞過預定的限制，且可能執行任意程式碼。(CVE-2010-1168、CVE-2010-1447)

據發現，CGI.pm Perl 模組未正確處理特定 MIME 邊界字串。攻擊者可利用此瑕疵插入任意 HTTP 標頭並執行 HTTP 回應分割及跨網站指令碼攻擊。受此問題影響的只有 Ubuntu 6.06 LTS、 8.04 LTS、10.04 LTS 和 10.10。(CVE-2010-2761、CVE-2010-4411)

據發現，CGI.pm Perl 模組未正確處理新行字元。攻擊者可利用此瑕疵插入任意 HTTP 標頭並執行 HTTP 回應分割及跨網站指令碼攻擊。受此問題影響的只有 Ubuntu 6.06 LTS、 8.04 LTS、10.04 LTS 和 10.10。(CVE-2010-4410)

據發現，處理受污染輸入時 lc、lcfirst、uc 和 ucfirst 函式未正確套用污染屬性。
攻擊者可利用此瑕疵繞過預定的限制。此問題只會影響 Ubuntu 8.04 LTS、10.04 LTS 和 10.10。
(CVE-2011-1487)。

安全性錯誤：lc 啟動程式污染了資料

http://rt.perl.org/rt3/Public/Bug/Display.html?id=87336

Cwd.so 應移至子套件。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Mark Martinec 發現，Perl 未正確清除「lc」等大小寫轉換函式傳回的值之受污染旗標。若應用程式在處理不受信任輸入的同時使用這些函式，這可能會暴露應用程式中先前存在的弱點。目前無已知的此類應用程式。套用此安全性更新時這類應用程式會停止運作，因為污染檢查是設計用來防止這種不安全的不受信任輸入資料使用方式。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2011:0558 公告中提及的多個弱點影響。

  - perl-CGI、perl-CGI-Simple：CVE-2010-2761 - 用於多部分內容的硬式編碼 MIME 邊界值，CVE-2010-4410 - 允許 HTTP 回應分割的 CRLF 插入 (CVE-2010-2761、CVE-2010-4410)

  - perl：lc()、uc() 常式正在清洗受污染的資料 (CVE-2011-1487)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
181090	Oracle Linux 6：perl (ELSA-2011-0558)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/9/7	critical
75993	openSUSE 安全性更新 : perl (openSUSE-SU-2011:0479-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
61044	Scientific Linux 安全性更新：SL6.x i386/x86_64 上的 perl	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
54577	Mandriva Linux 安全性公告：perl (MDVSA-2011:091)	Nessus	Mandriva Local Security Checks	2011/5/19	2021/1/6	medium
71119	GLSA-201311-17：Perl：多個弱點	Nessus	Gentoo Local Security Checks	2013/11/29	2021/1/6	medium
53541	Fedora 13 : perl-5.10.1-123.fc13 (2011-4918)	Nessus	Fedora Local Security Checks	2011/4/25	2021/1/11	medium
53892	SuSE 11.1 安全性更新：Perl (SAT 修補程式編號 4499)	Nessus	SuSE Local Security Checks	2011/5/13	2021/1/19	medium
75706	openSUSE 安全性更新 : perl (openSUSE-SU-2011:0479-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/14	medium
53887	openSUSE 安全性更新 : perl (openSUSE-SU-2011:0479-1)	Nessus	SuSE Local Security Checks	2011/5/13	2021/1/14	medium
53894	SuSE 10 安全性更新：Perl (ZYPP 修補程式編號 7508)	Nessus	SuSE Local Security Checks	2011/5/13	2021/1/19	medium
55090	Ubuntu 6.06 LTS / 8.04 LTS / 10.04 LTS / 10.10 / 11.04：perl 弱點 (USN-1129-1)	Nessus	Ubuntu Local Security Checks	2011/6/13	2019/9/19	high
53406	Fedora 14 : perl-5.12.3-143.fc14 (2011-4610)	Nessus	Fedora Local Security Checks	2011/4/14	2021/1/11	medium
53453	Fedora 15 : perl-5.12.3-156.fc15 (2011-4631)	Nessus	Fedora Local Security Checks	2011/4/18	2021/1/11	medium
55280	Debian DSA-2265-1：perl - 缺少受污染旗標傳播	Nessus	Debian Local Security Checks	2011/6/21	2021/1/4	medium
57240	SuSE 10 安全性更新：Perl (ZYPP 修補程式編號 7507)	Nessus	SuSE Local Security Checks	2011/12/13	2021/1/19	medium
54593	RHEL 6 : perl (RHSA-2011:0558)	Nessus	Red Hat Local Security Checks	2011/5/20	2024/4/21	critical

偵測

搜尋 Plugin

critical

medium

medium

medium

medium

medium

medium

medium

medium

medium

high

medium

medium

medium

medium

critical