Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の perl

medium Nessus プラグイン ID 61044

Language:

概要

リモート Scientific Linux ホストに 1 つ以上のセキュリティ更新がありません。

説明

Perl は、システム管理ユーティリティや Web プログラミングで一般的に使用される高レベルのプログラミング言語です。Perl CGI モジュールは、Common Gateway Interface （CGI）ベースの HTTP リクエストと応答を準備および処理するためのリソースを提供します。

Perl CGI モジュールが multipart/x-mixed-replace コンテンツでハードコード値を MIME 境界文字列として使用していることが判明しました。リモートの攻撃者が、この欠陥を利用することにより、特別に細工された HTTP リクエストで HTTP 応答分割攻撃を実施する可能性があります。（CVE-2010-2761）

Perl CGI モジュールが空白でない文字の前に改行文字があるシーケンスをヘッダーで処理する方法で、CRLF インジェクションの欠陥が見つかりました。リモートの攻撃者が、この欠陥を利用することにより、特別に細工された CGI モジュールに提供される文字のシーケンスで HTTP 応答分割攻撃を実施できる可能性があります。（CVE-2010-4410）

特定の Perl 文字列操作関数（uc() および lc() など）が、taint ビットの保存に失敗したことが判明しました。リモートの攻撃者が、この欠陥を利用して、汚染した入力を処理するために影響を受ける関数を使用するスクリプトで、Perl taint モード保護メカニズムをバイパスする可能性があります。
（CVE-2011-1487）

これらのパッケージで CGI モジュールがバージョン 3.51 にアップグレードされます。変更のリスト一式については、「参照」の内容にリンクされている CGI モジュールの「変更」ファイルを参照してください。

この更新は以下のバグも修正します：

-「threads」モジュールを使用する際、シグナルハンドラーを指定しないスレッドにシグナルを送信する試みにより、セグメンテーション違反のために、perl インタープリターが予期せず終了する可能性があります。この更新により、「threads」モジュールが、Upstream バージョン 1.82 に更新され、このバグが修正されます。結果として、シグナルハンドラーが指定されていないスレッドにシグナルを送信しても、もはや perl はクラッシュしなくなりました。

- この更新以前は、perl パッケージは、Digest::SHA モジュールを依存関係として必要としませんでした。この結果として、ユーザーが cpan コマンドラインインターフェイスを起動し、CPAN からディストリビューションをダウンロードしようと試みたとき、以下のメッセージが表示される可能性があります：

CPAN：Digest::SHA がインストールされていないため、チェックサムセキュリティチェックが無効になっています。Digest::SHA モジュールのインストールを考慮してください。

この更新により、依存関係として perl-Digest-SHA パッケージが必須となる、perl パッケージ向けの仕様ファイルが修正され、cpan は上記のメッセージを表示することはありません。

-「threads」モジュールを使用する際、スレッドの継続作成および破壊により、Perl プログラムが多量のメモリを消費する可能性があります。この更新により、下層にあるソースコードが修正され、スレッドが破損する際に割り当てたメモリを解放します。このため、Perl プログラムにおけるスレッドの継続的な作成および破壊によるメモリリークが発生することはありません。

- パッケージングのエラーのために、perl パッケージが「NDBM_File」モジュールをインクルードしませんでした。この更新でこのエラーが修正され、「NDBM_File」が今では期待通りインクルードされます。

- この更新以前は、prove(1) マニュアルページおよび「prove --help」コマンドで、「--fork」が有効なコマンドラインオプションとして一覧されていました。しかし、Test::Harness バージョン 3.17 のディストリビューションにより、フォークベースのパラレルテストに対するサポートが削除されたため、prove ユーティリティはこのオプションをサポートすることはありません。この更新により、マニュアルページと「prove --help」コマンドの出力の
両方が修正されるため、「--fork」はもはや使用可能なコマンドラインオプションの一覧に含まれません。

Perl のユーザー、特に Perl スレッドのユーザーには、これらの更新済みパッケージにアップグレードし、これらの問題を修正することが推奨されます。