AlmaLinux 9.2 [TuxCare] セキュリティ更新:perl-DBI の複数の脆弱性(ALMALINUX9.2:CLSA-2026:1786120315)

critical Nessus プラグイン ID 361979

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1786120315アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- Perl 用の 1.650 より前の DBI バージョンは、呼び出し元の影響を受けるプロファイルを通じたコードインジェクションに対して脆弱です。DBI ハンドルの Profile 属性に文字列が割り当てられると、DBI は文字列をパス、パッケージ、および引数に分割し、パッケージ名を検証せずに文字列 eval のパッケージ部分を補間します。このため、呼び出し元の影響を受ける値が Profile 属性に到達すると、システムコマンドを実行するための呼び出しを含めて、任意の Perl コード実行になります。プロファイル属性は、信頼できないデータを伝送できる 3 つの異なるソース (DBI_PROFILE 環境変数、直接属性割り当て、DSN ドライバー属性句 dbi:Driver(Profile=>SPEC):db) から設定することができます。これらの入力のいずれかをコントロールする攻撃者は、ホストプロセスで任意の Perl を実行します。最も強力なリモート位置は、ネットワークに露出された DBI::Gofer / DBI::P roxyServerであり、そのリクエストごとの DSN がプロファイル属性に達し、クライアントがブローカーホストでコードを実行できるようにしています。
(CVE-2026-14380)

- Perl 用の 1.650 より前の DBI バージョンでは、過剰な数のプレースホルダーを含む SQL ステートメントを準備する際に、ヒープオーバーフローが発生します。CVE-2026-10879 の修正では、約 120 万個のプレースホルダーを処理するのに十分なメモリが割り当てられていませんでした。DBI バージョン 1.650 では、99,999 個のプレースホルダーのハードリミットが設定されています。(CVE-2026-14739)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。