Scientific Linux 安全更新：SL6.x i386/x86_64 中的 perl

medium Nessus 插件 ID 61044

语言：

简介

远程 Scientific Linux 主机缺少一个或多个安全更新。

描述

Perl 是一种通常用于系统管理实用工具和 Web 编程的高级编程语言。Perl CGI 模块提供资源以准备和处理基于通用网关接口 (CGI) 的 HTTP 请求和响应。

已发现 Perl CGI 模块针对 multipart/x-mixed-replace 内容中的 MIME 边界字符串使用硬编码值。远程攻击者可能利用此缺陷通过特别构建的 HTTP 请求执行 HTTP 响应拆分攻击。(CVE-2010-2761)

在 Perl CGI 模块处理标头中一系列前跟换行符的非空白内容的方式中发现 CRLF 注入缺陷。远程攻击者可以利用此缺陷通过特别构建的一系列提供给 CGI 模块的字符执行 HTTP 响应拆分攻击。(CVE-2010-4410)

已发现某个 Perl 字符串操纵函数（如 uc() 和 lc()）无法保留感染位。远程攻击者可利用此缺陷绕过使用受影响函数处理受感染输入的脚本中的 Perl 感染模式保护机制。
(CVE-2011-1487)

这些程序包将 CGI 模块升级到 3.51 版本。请参阅 CGI 模块的变更文件（“参考”中有链接）获取完整的变更列表。

此更新还修复以下缺陷：

- 使用“线程”模块时，尝试将信号发送到未指定信号处理程序的线程会导致 perl 解释器因分段错误而意外终止。通过此更新，“线程”模块已更新到上游版本 1.82，该版本修复此缺陷。因此，将信号发送到未指定信号处理程序的线程不再导致 perl 崩溃

- 在此更新之前，perl 程序包未要求 Digest::SHA 模块作为依赖关系。这样的结果是，当用户启动 cpan 命令行界面并尝试从 CPAN 下载发行版本时，它们可能已显示以下消息：

CPAN：由于未安装 Digest::SHA，校验和安全检查被禁用。请考虑安装 Digest::SHA 模块。

此更新修正了 perl 程序包的 spec 文件，要求将 perl-Digest-SHA 程序包作为依存关系，并且 cpan 不再显示上述消息。

- 使用“线程”模块时，线程的连续创建和销毁可导致 Perl 程序消耗越来越多的内存。通过此更新，底层源代码得到了修正，会在销毁线程时释放所分配的内存，并且在 Perl 程序中继续创建和销毁线程不会再导致内存泄漏。

- 由于打包错误，perl 程序包未包含“NDBM_File”模块。此更新修正此错误，现在按预期包含“NDBM_File”。

- 在此更新之前，prove(1) 手册页和“prove --help”命令将“--fork”列为有效命令行选项。但是，Test::Harness 发行版本的 3.17 版删除了对基于 fork 的并行测试的支持，因此 prove 实用工具不再支持此选项。此更新同时修正手册页和“prove --help”命令的输出，以便可用的命令行选项列表中不再包含“--fork”。

建议 Perl 用户（尤其是 Perl 线程的用户）升级这些更新后的程序包，其中修正了这些问题。