Debian DSA-3501-1：perl - セキュリティ更新

high Nessus プラグイン ID 89062

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Stephane Chazelas 氏は、Perl の環境処理にバグを発見しました。Perl は Perl-space ハッシュ変数である %ENV を提供し、ここで環境変数を調べることができます。変数が envp に 2 回現れた場合、最後の値のみが %ENV に現れますが、getenv は最初の変数を返します。Perl の taint セキュリティメカニズムが %ENV 内の値に適用されますが、その他の残りの環境には適用されません。これによって環境が不明瞭になり、taint チェックが保護を提供しているはずであるにも関わらず、環境変数がサブプロセスに伝播します。

この更新では、Perl は以下に適合するように動作を変更します：

- %ENV に、getenv が返す最初の環境変数が投入される。
- 重複する環境エントリは削除される。

ソリューション

perl パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（wheezy）では、この問題はバージョン 5.14.2-21+deb7u3 で修正されています。

安定版（stable）ディストリビューション（jessie）では、この問題はバージョン 5.20.2-3+deb8u4 で修正されています。