Mandriva Linux 安全公告：perl (MDVSA-2013:113)
high Nessus 插件 ID 66125
语言：
简介
远程 Mandriva Linux 主机缺少一个或多个安全更新。描述
更新后的 perl 程序包修复了安全漏洞：已发现 Perl 的“x”字符串重复运算符容易受到基于堆的缓冲区溢出的影响。攻击者可利用此漏洞执行任意代码 (CVE-2012-5195)。
在低于 5.17.7 的 Perl 的 Locale::Maketext 实现的 Maketext.pm 中，_compile 函数无法在括号标记编译过程中正确处理反斜线和完全限定的方法名称，从而允许上下文有关的攻击者通过接受用户转换字符串的应用程序中的构建输入执行任意命令 (CVE-2012-6329)。
为了避免哈希机制受到算法复杂度攻击，perl 有时会重新计算密钥并对哈希内容进行重新分布。该机制使 perl 不会受到其他系统所受到的攻击。Yves Orton 的研究最近发现二度哈希代码中存在一个缺陷，可造成病态行为。可利用该缺陷，对将任意用户输入用作哈希密钥的代码发起拒绝服务攻击。由于将用户提供的字符串用作哈希密钥是极为常见的操作，所以我们强烈建议 perl 用户尽快更新其 perl 可执行文件。
解决此问题的更新如今已推送到 main-5.8、maint-5.10、maint-5.12、maint-5.14 和 maint-5.16 分支。
两周前已通知供应商*此问题，预期将在今天（或不久后的其他时间）提供更新 (CVE-2013-1667)。
解决方案
更新受影响的数据包。插件详情
严重性: High
ID: 66125
文件名: mandriva_MDVSA-2013-113.nasl
版本: 1.25
类型: local
发布时间: 2013/4/20
最近更新时间: 2021/1/6
支持的传感器: Nessus
风险信息
VPR
风险因素: High
分数: 7.4
CVSS v2
风险因素: High
基本分数: 7.5
时间分数: 6.2
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
漏洞信息
CPE: p-cpe:/a:mandriva:linux:perl, p-cpe:/a:mandriva:linux:perl-locale-maketext, p-cpe:/a:mandriva:linux:perl-base, p-cpe:/a:mandriva:linux:perl-devel, p-cpe:/a:mandriva:linux:perl-doc, cpe:/o:mandriva:business_server:1
必需的 KB 项: Host/local_checks_enabled, Host/cpu, Host/Mandrake/release, Host/Mandrake/rpm-list
可利用: true
易利用性: Exploits are available
补丁发布日期: 2013/4/10
可利用的方式
Metasploit (TWiki MAKETEXT Remote Command Execution)
Elliot (Foswiki 1.1.5 RCE)
参考资料信息
CVE: CVE-2012-5195, CVE-2012-6329, CVE-2013-1667
MDVSA: 2013:113
MGASA: 2012-0352, 2013-0032, 2013-0094