更新版 perl-Module-Signature 套件修正了下列由 John Lightsey 報告的安全性弱點：

Module::Signature 可能會遭到誘騙，而將 SIGNATURE 檔案中未簽署的部分解譯已簽署的部分，這是因為錯誤剖析 PGP 簽署邊界所導致。

在驗證 CPAN 模組中的內容時，Module::Signature 對於簽署檔案中未列出的已擷取 tarball，會忽略其中的部分檔案。這包括在執行測試期間會自動執行之 t/ 目錄中的某些檔案

從已簽署的資訊清單產生總和檢查碼時，Module::Signature 使用兩個引數 open() 呼叫讀取檔案。這會允許將任意 shell 命令內嵌至會在簽章驗證處理程序期間執行的 SIGNATURE 檔案。

數個模組在運行時間載入已擷取的模組目錄內。Text::Diff 等模組不保證可以在所有平台上提供使用，且可新增至惡意模組，以便從 \@INC 中的「.」路徑載入。

在操控 CPAN SIGNATURE 檔案的 Perl 模組 libmodule-signature-perl 中發現多個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：

- CVE-2015-3406 John Lightsey 發現，Module::Signature 因為錯誤處理 PGP 簽署邊界，因而可能將 SIGNATURE 檔案中未簽署的部分剖析為已簽署的部分。

- CVE-2015-3407 John Lightsey 發現，Module::Signature 未正確處理未列在 SIGNATURE 檔案中的檔案。這包括 t/ 目錄中的某些檔案，這些檔案可在進行測試時執行。

- CVE-2015-3408 John Lightsey 發現，Module::Signature 從已簽署的資訊清單產生總和檢查碼時，使用兩個引數 open() 呼叫讀取檔案。這會允許將任意 shell 命令內嵌至會在簽章驗證處理程序期間執行的 SIGNATURE 檔案。

- CVE-2015-3409 John Lightsey 發現，Module::Signature 未正確處理模組載入，導致允許從 @INC 中的相對路徑載入模組。遠端攻擊者若提供惡意模組，就可利用此問題，在簽章驗證期間執行任意程式碼。

請注意，libtest-signature-perl 會收到一個更新，以便與 libmodule-signature-perl 中的 CVE-2015-3407 修正相容。

此 perl-Module-Signature 0.79 更新可修正下列安全性問題：

- 利用相對路徑更好地保護 @INC。
 (CVE-2015-3409)

- 修正 GPG 簽章剖析邏輯。(CVE-2015-3406)

- 除非提供 --skip，否則不再查閱 MANIFEST.SKIP。(CVE-2015-3407)

- 正確使用 open() 模式以避免插入攻擊。
 (CVE-2015-3408)

John Lightsey 發現，Module: : Signature 未正確處理 PGP 簽署邊界。遠端攻擊者可利用此問題，誘騙 Module: : Signature 把 SIGNATURE 檔案中未簽署的部分剖析為已簽署的部分。(CVE-2015-3406)

John Lightsey 發現，Module: : Signature 未正確處理未列在 SIGNATURE 檔案中的檔案。遠端攻擊者可利用此瑕疵，在執行測試時執行任意程式碼。
(CVE-2015-3407)

John Lightsey 發現，Module: : Signature 未正確處理 SIGNATURE 檔案中的內嵌 Shell 命令。遠端攻擊者可利用此問題，在簽署驗證期間執行任意程式碼。(CVE-2015-3408)

John Lightsey 發現，Module: : Signature 未正確處理模組載入。遠端攻擊者可利用此問題，在簽署驗證期間執行任意程式碼。(CVE-2015-3409)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

John Lightsey 在 Module::Signature (操控 CPAN SIGNATURE 檔案的 Perl 模組) 中發現多個弱點。
Common Vulnerabilities and Exposures 專案發現下列問題：

CVE-2015-3406

Module::Signature 可將 SIGNATURE 檔案中未簽署的部分剖析為已簽署的部分，這是因為錯誤處理 PGP 簽署邊界所導致。

CVE-2015-3407

Module::Signature 未正確處理未列在 SIGNATURE 檔案中的檔案。這包括 t/ 目錄中的某些檔案，這些檔案可在進行測試時執行。

CVE-2015-3408

Module::Signature 從已簽署的資訊清單產生總和檢查碼時，使用兩個引數 open() 呼叫讀取檔案。這會允許將任意 shell 命令內嵌至會在簽章驗證處理程序期間執行的 SIGNATURE 檔案中。

CVE-2015-3409

Module::Signature 未正確處理模組載入，導致允許從 @INC 中的相對路徑載入模組。遠端攻擊者若提供惡意模組，就可利用此問題，在簽章驗證期間執行任意程式碼。

針對 squeeze 發行版本，這些問題已在 libmodule-signature-perl 的 0.63-1+squeeze2 版中修正。請注意，libtest-signature-perl 套件亦已更新，可與 CVE-2015-3407 修正相容。

建議您升級 libmodule-signature-perl 及 libtest-signature-perl 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	產品	系列	已發布	已更新	嚴重性
83099	Mandriva Linux 安全性公告：perl-Module-Signature (MDVSA-2015:207)	Nessus	Mandriva Local Security Checks	2015/4/28	2021/1/14	high
83501	Debian DSA-3261-1：libmodule-signature-perl - 安全性更新	Nessus	Debian Local Security Checks	2015/5/18	2021/1/11	high
88133	openSUSE 安全性更新：perl-Module-Signature (openSUSE-2016-61)	Nessus	SuSE Local Security Checks	2016/1/25	2021/1/19	high
83414	Ubuntu 14.04 LTS：模組：: Signature 弱點 (USN-2607-1)	Nessus	Ubuntu Local Security Checks	2015/5/13	2023/10/20	critical
84495	Debian DLA-264-1：libmodule-signature-perl 安全性更新	Nessus	Debian Local Security Checks	2015/7/2	2021/1/11	high

偵測

搜尋 Plugin

high

high

high

critical

high