此 Perl 更新可修复以下问题：

- CVE-2016-6185：Xsloader 查看“(eval)”目录。
 (bsc#988311)

- CVE-2016-1238：在当前目录中搜索可选模块。(bsc#987887)

- CVE-2015-8853：在遇到错误的 utf8 时挂起的正则表达式引擎。(bsc)

- CVE-2016-2381：环境 dup 处理缺陷。
 (bsc#967082)

- 受感染模式下的“请求中的不安全依存关系”错误。
 (bsc#984906)

-“use utf8”处理中的内存泄漏。(bsc#928292)

- 缺少调试程序的锁定原型。(bsc#932894)

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

此 Perl 更新可修复以下问题：

- CVE-2016-6185：Xsloader 查看“(eval)”目录。
 (bsc#988311)

- CVE-2016-1238：在当前目录中搜索可选模块。(bsc#987887)

- CVE-2015-8853：在遇到错误的 utf8 时挂起的正则表达式引擎。(bsc)

- CVE-2016-2381：环境 dup 处理缺陷。
 (bsc#967082)

- 受感染模式下的“请求中的不安全依存关系”错误。
 (bsc#984906)

-“use utf8”处理中的内存泄漏。(bsc#928292)

- 缺少调试程序的锁定原型。(bsc#932894)

此更新从 SUSE:SLE-12:Update 更新项目导入。

远程主机受到 GLSA-201701-75 中所述漏洞的影响（Perl：多个漏洞）在 Perl 中发现多个漏洞。请检查下面引用的 CVE 标识符以了解详细信息。影响：远程攻击者可能以进程的权限执行任意代码，造成拒绝服务条件或者提升权限。解决方法：目前无任何已知的解决方法。

在 Perl 编程语言的实现中发现多种漏洞。通用漏洞和暴露计划识别以下问题：

CVE-2016-1238

John Lightsey 与 Todd Rinaldo 报告，机会性加载可选模块可使许多程序无意间从当前工作目录（其可能在用户不知情的情况下更改为其他目录）加载代码，并可能导致权限升级，这一点已由含有某些已安装程序包组合的 Debian 所证实。

此问题与 Perl 从包含目录数组 ('@INC') 中加载模块有关，其中的最后一个元素就是当前目录 ('.')。这表示“perl”想要加载模块（在运行时第一次编译或消极加载模块时）时，perl 会在末端的当前目录中查找模块，因为“.”是其要查找的包含目录数组中的最后一个包含目录。问题在于位于“.”中但未以其他方式安装的必要库。

通过此更新，已知受影响的多个模块会更新为不从当前目录加载模块。

此外，更新允许在转换期间从 /etc/perl/sitecustomize.pl 中的 @INC 对“.”进行可配置删除。如果已评估某个特定网站的潜在中断，建议启用此设置。
在 Debian 中提供的程序包内，因切换至从 @INC 中删除“.”而导致的问题应向 Perl 维护人员报告，地址为 perl@packages.debian.org。

CVE-2016-6185

已发现用于将 C 库动态加载 Perl 代码的 Perl 核心模块 XSLoader 可能从不正确的位置加载共享代码。XSLoader 使用 caller() 信息来查找要加载的 .so 文件。如果在字符串 eval 中调用 XSLoader::load()，这可能会不正确。攻击者可利用此缺陷执行任意代码。

对于 Debian 7“Wheezy”，这些问题已在 5.14.2-21+deb7u4 版本中修复。

建议您升级 perl 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

针对 CVE-2016-1238 的安全补丁

请注意，Tenable Network Security 已直接从 Fedora 更新系统网站提取上述描述块。
Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

John Lightsey 与 Todd Rinaldo 报告，机会性加载可选模块可使许多程序无意间从当前工作目录（其可能在用户不知情的情况下更改为其他目录）加载代码，并可能导致权限升级，这一点已由含有某些已安装程序包组合的 Debian 所证实。

此问题与 Perl 从包含目录数组 ('@INC') 中加载模块有关，其中的最后一个元素就是当前目录 ('.')。这表示“perl”想要加载模块（在运行时第一次编译或消极加载模块时）时，perl 会在末端的当前目录中查找模块，因为“.”是其要查找的包含目录数组中的最后一个包含目录。问题在于位于“.”中但未以其他方式安装的必要库。

通过此更新，Sys::Syslog Perl 模块已更新为不从当前目录加载模块。

对于 Debian 7“Wheezy”，这些问题已在 0.29-1+deb7u1 版本中修复。

建议您升级 libsys-syslog-perl 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Sawyer X 报告：

Perl 5.22.3-RC2 之前的 5.x 版和 5.24.1-RC2 之前的 5.24 版未正确删除包含目录数组结尾的 .（句点）字符，这可能会允许本地用户通过目前工作目录下的特洛伊木马模块取得权限。

此 perl 更新可修复以下问题：

- CVE-2016-6185：xsloader 查看“(eval)”目录 [bsc#988311]

- CVE-2016-1238：在当前目录中搜索可选模块 [bsc#987887]

- CVE-2015-8853：regex 引擎在遇到错误的 utf8 时挂起 [bnc976584]

- CVE-2016-2381：环境 dup 处理缺陷 [bsc#967082]

- utf8_mg_pos_cache_update 的 perl 错误 [bsc#929027]

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Spamassassin 中发现多个漏洞，在特定情况下可能会造成远程代码执行和拒绝服务攻击。CVE-2016-1238 多个 Perl 程序未正确删除包含目录数组结尾的 .（句点）字符，这可能会允许本地用户通过目前工作目录下的特洛伊木马模块取得权限。CVE-2017-15705 Apache SpamAssassin 3.4.2 之前版本中发现存在拒绝服务漏洞。此漏洞由电子邮件中的特定未关闭的标签触发，可能会造成置标未正确处理，进而导致扫描超时。这使得精心构建的电子邮件可能会占用较预期更长的扫描时间，从而造成拒绝服务。CVE-2018-11780 Apache SpamAssassin 3.4.2 之前版本中，PDFInfo 插件可能存在远程代码执行缺陷。CVE-2018-11781 Apache SpamAssassin 3.4.2 修复了元规则语法中的一个本地用户代码注入。对于 Debian 8“Jessie”，这些问题已在 3.4.2-0~deb8u1 版本中修复。上游强烈建议升级到最新的上游版本，因此我们遵从该建议，并向后移植了 9.6 stretch 版本中发布的版本，后者还修复了多个重要缺陷。建议您升级 spamassassin 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在 Perl 编程语言的实现中发现多种漏洞。通用漏洞和暴露计划识别以下问题：

- CVE-2016-1238 John Lightsey 与 Todd Rinaldo 报告，机会性加载可选模块可使许多程序无意间从当前工作目录（其可能在用户不知情的情况下更改为其他目录）加载代码，并可能导致权限升级，这一点已由含有某些已安装程序包组合的 Debian 所证实。

此问题与 Perl 从包含目录数组 ('@INC') 中加载模块有关，其中的最后一个元素就是当前目录 ('.')。这表示“perl”想要加载模块（在运行时第一次编译或消极加载模块时）时，perl 会在末端的当前目录中查找模块，因为“.”是其要查找的包含目录数组中的最后一个包含目录。问题在于位于“.”中但未以其他方式安装的必要库。

通过此更新，已知受影响的多个模块会更新为不从当前目录加载模块。

此外，更新允许在转换期间从 /etc/perl/sitecustomize.pl 中的 @INC 对“.”进行可配置删除。如果已评估某个特定网站的潜在中断，建议启用此设置。在 Debian 中提供的程序包内，因切换至从 @INC 中删除“.”而导致的问题应向 Perl 维护人员报告，地址为 perl@packages.debian.org。

如果可能，计划在 perl 的后续更新中通过点版本切换为 @INC 中“.”的默认删除，而且在即将发行的稳定版本 Debian 9 (stretch) 中一定会切换。

- CVE-2016-6185 已发现用于将 C 库动态加载 Perl 代码的 Perl 内核模块 XSLoader 可能从不正确的位置加载共享代码。XSLoader 使用 caller() 信息来查找要加载的 .so 文件。如果在字符串 eval 中调用 XSLoader::load()，这可能会不正确。攻击者可利用此缺陷执行任意代码。

此更新会添加一个选项“FORCE_SAFE_INC”，如果设置这个选项（默认未设置），就会将当前目录从模块加载路径中删除，以避免从可能不安全的位置加载代码 (CVE-2016-1238)。

请注意，Tenable Network Security 已直接从 Fedora 更新系统网站提取上述描述块。
Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程主机受到 GLSA-201812-07 中所述漏洞的影响（SpamAssassin：多个漏洞）在 SpamAssassin 中发现多个漏洞。如需详细信息，请查看供参考的 CVE 标识符。影响：远程攻击者可执行任意代码、提升权限，或造成拒绝服务情况。解决方法：目前无任何已知的解决方法。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
93437	SUSE SLED12 / SLES12 安全更新：perl (SUSE-SU-2016:2263-1)	Nessus	SuSE Local Security Checks	2016/9/12	2021/1/6	high
93583	openSUSE 安全更新：perl (openSUSE-2016-1086)	Nessus	SuSE Local Security Checks	2016/9/19	2021/1/19	high
96861	GLSA-201701-75：Perl：多个漏洞	Nessus	Gentoo Local Security Checks	2017/1/30	2021/1/11	high
92613	Debian DLA-565-1：perl 安全更新	Nessus	Debian Local Security Checks	2016/7/29	2021/1/11	high
92738	Fedora 24：4:perl (2016-e9e5c081d4)	Nessus	Fedora Local Security Checks	2016/8/5	2021/1/11	high
92727	Debian DLA-584-1：libsys-syslog-perl 安全更新	Nessus	Debian Local Security Checks	2016/8/5	2021/1/11	high
92741	FreeBSD：perl -- 本地任意代码执行 (72bfbb09-5a6a-11e6-a6c3-14dae9d210b8)	Nessus	FreeBSD Local Security Checks	2016/8/5	2021/1/4	high
93371	SUSE SLES11 安全更新：perl (SUSE-SU-2016:2246-1)	Nessus	SuSE Local Security Checks	2016/9/8	2021/1/19	high
118938	Debian DLA-1578-1：spamassassin 安全更新	Nessus	Debian Local Security Checks	2018/11/14	2021/1/11	critical
92548	Debian DSA-3628-1：perl - 安全更新	Nessus	Debian Local Security Checks	2016/7/26	2021/1/11	high
92797	Fedora 23：perl-Module-Load-Conditional (2016-0aa251bc9b)	Nessus	Fedora Local Security Checks	2016/8/9	2021/1/11	high
92810	Fedora 24：perl-Module-Load-Conditional (2016-dd20a4631a)	Nessus	Fedora Local Security Checks	2016/8/9	2021/1/11	high
93058	Fedora 23：4:perl (2016-6ec2009080)	Nessus	Fedora Local Security Checks	2016/8/22	2021/1/11	high
119703	GLSA-201812-07：SpamAssassin：多个漏洞	Nessus	Gentoo Local Security Checks	2018/12/17	2020/3/27	critical

检测

插件搜索

high

high

high

high

high

high

high

high

critical

high

high

high

high

critical