AlmaLinux 9.6 [TuxCare] セキュリティ更新:perl-Date-Manip(ALMALINUX9.6:CLSA-2026:1788263623)

high Nessus プラグイン ID 351716

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.6 ホストには、TuxCare ALMALINUX9.6:CLSA-2026:1788263623アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

- Perl の 7.00 までの Date::Manip のバージョンでは、_parse_time の非アンカー時間置換の二次バックトラッキングによる CPU 枯渇が発生する可能性があります。_parse_time は、非アンカー置換「s/$timerx/ /」で文字列内の任意の場所から時間を削除します。ここで $timerx は、先頭の「(?:$atrx|^|\s」によって到達される自動生成された時間パターンの交互です+)`. したがって、エンジンは内部の空白ランのすべての位置でマッチを再試行します:各開始位置では、先頭の「\s+」が残りのランを貪欲に消費し、ランには数字がないため時間交代は失敗し、エンジンはランを横切って一度にスペースをバックトラックしてから、ランの長さが2乗の開始位置を進めます。これが起こるために文字列に時間が存在する必要はなく、空白を長時間実行するだけで、解析時間は実行が2倍になるたびに約4倍に増加します。数キロバイトの空白は解析ごとに数秒のCPUを消費し、数十キロバイトには数分かかります。無限の長さの信頼できない文字列を ParseDate()、Date::Manip::D ate->parse()、または ->parse_time() に渡す呼び出し元は、1 回の解析で無限の CPU を消費させられる可能性があり、サービス拒否を引き起こします。(CVE-2026-60075)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。