在 Perl 编程语言的实现中发现多种漏洞。通用漏洞和暴露计划识别以下问题：

- CVE-2016-1238 John Lightsey 与 Todd Rinaldo 报告，机会性加载可选模块可使许多程序无意间从当前工作目录（其可能在用户不知情的情况下更改为其他目录）加载代码，并可能导致权限升级，这一点已由含有某些已安装程序包组合的 Debian 所证实。

此问题与 Perl 从包含目录数组 ('@INC') 中加载模块有关，其中的最后一个元素就是当前目录 ('.')。这表示“perl”想要加载模块（在运行时第一次编译或消极加载模块时）时，perl 会在末端的当前目录中查找模块，因为“.”是其要查找的包含目录数组中的最后一个包含目录。问题在于位于“.”中但未以其他方式安装的必要库。

通过此更新，已知受影响的多个模块会更新为不从当前目录加载模块。

此外，更新允许在转换期间从 /etc/perl/sitecustomize.pl 中的 @INC 对“.”进行可配置删除。如果已评估某个特定网站的潜在中断，建议启用此设置。在 Debian 中提供的程序包内，因切换至从 @INC 中删除“.”而导致的问题应向 Perl 维护人员报告，地址为 perl@packages.debian.org。

如果可能，计划在 perl 的后续更新中通过点版本切换为 @INC 中“.”的默认删除，而且在即将发行的稳定版本 Debian 9 (stretch) 中一定会切换。

- CVE-2016-6185 已发现用于将 C 库动态加载 Perl 代码的 Perl 内核模块 XSLoader 可能从不正确的位置加载共享代码。XSLoader 使用 caller() 信息来查找要加载的 .so 文件。如果在字符串 eval 中调用 XSLoader::load()，这可能会不正确。攻击者可利用此缺陷执行任意代码。

检测

Debian DSA-3628-1：perl - 安全更新

high Nessus 插件 ID 92548

未找到变更日志