GLSA-201709-12：Perl：競合状態の脆弱性

medium Nessus プラグイン ID 103280

Language:

概要

リモートのGentooホストに1つ以上のセキュリティ関連のパッチがありません。

説明

リモートホストは、GLSA-201709-12（Perl：競合状態の脆弱性）で説明されている脆弱性に影響されています。競合状態は並行環境内で発生します。この状態は、Perl用File-Pathモジュールの2.13以前のrmtreeおよびremove_tree関数で、cPanelセキュリティチームによって発見されました。これは、inodeがディレクトリであると決定するstat()と、それをuser-rwxにしようとするchmod()の間のtime-of-check-to-time-of-use (TOCTOU)競合状態によるものです。影響：ローカルの攻撃者がこの条件を悪用して、任意のファイルに任意のモード値を設定することで、セキュリティ制限を回避する可能性があります。回避策：現時点では、既知の回避策はありません。

ソリューション

Perlの全ユーザーは、最新バージョンへアップグレードする必要があります： # emerge --sync # emerge --ask --oneshot --verbose '>=dev-lang/perl-5.24.1-r2' File-Pathの全ユーザーは、最新バージョンへアップグレードする必要があります： # emerge --sync # emerge --ask --oneshot --verbose '>=perl-core/File-Path-2.130.0' Perl-File-Pathの全ユーザーは、最新バージョンへアップグレードする必要があります： # emerge --sync # emerge --ask --oneshot --verbose '>=virtual/perl-File-Path-2.130.0'