2023 年 Amazon Linux:perl-Date-Manip(ALAS2023-2026-2050)
high Nessus プラグイン ID 337225
Language:
概要
リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。説明
したがって、ALAS2023-2026-2050 のアドバイザリに記載されている複数の脆弱性の影響を受けます。Perl の 6.99 までの Date::Manip のバージョンは、チェック内の数値範囲テストに合格する非 ASCII 十進数を介して、破損した日付を返します。
解析正規表現は、年、月、日を「\d」短縮形でキャプチャします。これは、文字列で「[0-9]」だけでなく、Unicode の十進数プロパティ「\p{Nd}」全体に一致します。Date::Manip::Base::check はその後、数値比較のみにより、キャプチャされたフィールドを検証します('$y<1 || $y>9999', '$m<1 || $m>12', '$d<1 || $d>$days')、_parse_checkは数値フィールド('$y+0')を保存します。Perl は ASCII 桁ではない最初の文字で文字列を切り捨てるため、先頭文字が ASCII 桁のフィールドは範囲内のプレフィックスに数値化され、すべてのテストを満たします: 3 桁の ASCII 数字の年フィールドの後に U+0664 アラビア語-インド語の数字 4 が 202 に数値化して 0202 年を与え、月または日フィールドに 1 つの非 ASCII 数字がそれらのフィールドを同じようにシフトします。時、分、秒のフィールドは、明示的な ASCII 文字クラス(「0?[0-9]', '[0-5][0-9]') とシフトしません。小数値の時間または分フィールドの非 ASCII 数字は分数を切り捨てます。
信頼できない文字列を ParseDate() または Date::Manip::D ate->parse() に渡す呼び出し元が、解析エラーなしで解析した文字列とは異なる日付を返すことができます。解析された日付が有効期限チェックや保持期間などのロジックをゲートする場合、シフトは気づかれません。(CVE-2026-60074)
Perl の 6.99 までの Date::Manip のバージョンにより、_parse_time の非アンカー時間置換の二次逆追跡による CPU 枯渇が発生する可能性があります。
_parse_timeは、非アンカー置換「s/$timerx/ /」を使用して文字列内の任意の場所から時間を削除します。ここで $timerx は、先頭の「(?:$atrx|^|\s」を介して到達する自動生成された時間パターンの交互です+)`. したがって、エンジンは内部空白実行のすべての位置で一致を再試行します。
各開始位置で、先頭の「\s+」が残りの走行を貪欲に消費し、走行には数字がないため時間交代は失敗し、エンジンは走行を横切って一度にスペースを戻してから、走行の長さが二次である開始位置を前進させます。これが起こるために文字列に時間が存在する必要はなく、空白を長時間実行するだけで、解析時間は実行が2倍になるたびに約4倍に増加します。数キロバイトの空白は解析ごとに数秒のCPUを消費し、数十キロバイトには数分かかります。
無限の長さの信頼できない文字列を ParseDate()、Date::Manip::D ate->parse()、または ->parse_time() に渡す呼び出し元は、1 回の解析で無限の CPU を消費させられる可能性があり、サービス拒否を引き起こします。
(CVE-2026-60075)
Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
「dnf update perl-Date-Manip --releasever 2023.12.20260817」または「dnf update --advisory ALAS2023-2026-2050 --releasever 2023.12.20260817」を実行してシステムを更新してください。参考資料
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-2050.html
https://alas.aws.amazon.com/faqs.html
プラグインの詳細
深刻度: High
ID: 337225
ファイル名: al2023_ALAS2023-2026-2050.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
公開日: 2026/8/18
更新日: 2026/8/18
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3
パーセンタイル: 23.72
CVSS v2
リスクファクター: Medium
基本値: 5
現状値: 3.7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N
CVSS スコアのソース: CVE-2026-60074
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS スコアのソース: CVE-2026-60075
脆弱性情報
CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:perl-date-manip
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/8/17
脆弱性公開日: 2026/7/30
参照情報
CVE: CVE-2026-60074, CVE-2026-60075