更新された perl-Module-Signature のパッケージは、John Lightsey 氏によって報告された以下のセキュリティ脆弱性を修正します：

Module::Signature が騙され、SIGNATURE ファイルの署名のない部分を署名済みの部分として解釈する可能性があります。これは、PGP 署名境界を間違って解析するために発生します。

CPAN モジュールのコンテンツを検証する際、Module::Signature が、抽出された tarball の中で署名ファイルにリストアップされていないいくつかのファイルを無視しました。これには、make test 中に自動的に実行する t/ ディレクトリのいくつかのファイルが含まれます。

署名済みのマニフェストからチェックサムを生成する際、Module::Signature はファイルの読み込みに 2 つの引数の open() 呼び出しを使用しました。これにより、任意のシェルコマンドを、署名認証プロセスで実行する際に、 SIGNATURE ファイルに埋め込むことが可能になりました。

抽出されたモジュールディレクトリ内で、runtime 時にいくつかのモジュールを読み込んでいました。Text::Diff のようなモジュールは、すべてのプラットフォームで利用できるとは限りません。また、\@INC の中の「.」パスから読み込みできるように悪意あるモジュールに追加される可能性があります

CPAN SIGNATURE ファイルを操作する Perl モジュールである libmodule-signature-perl に複数の脆弱性が発見されました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2015-3406 John Lightsey 氏は、PGP 署名境界の処理が不適切なため、Module::Signature が SIGNATURE ファイルの署名のない部分を署名済みの部分として解析する可能性があることを発見しました。

- CVE-2015-3407 John Lightsey 氏は、Module::Signature が SIGNATURE ファイルにリストされていないファイルを不適切に処理していることを発見しました。これには、テストが行われる場合に実行する、t/ ディレクトリのいくつかのファイルが含まれます。

- CVE-2015-3408 John Lightsey 氏は、Module::Signature が、署名済みのマニフェストからチェックサムを生成する際、ファイルの読み込みに 2 つの引数の open() 呼び出しを使用していることを発見しました。これにより、任意のシェルコマンドを SIGNATURE ファイルに埋め込むことが可能になります。これは、署名認証プロセスで実行されます。

- CVE-2015-3409 John Lightsey 氏は、Module::Signature がモジュールの読み込みを不適切に処理するため、@INC の相対パスからモジュールが読み込まれる可能性があることを発見しました。悪意のあるモジュールを提供しているリモートの攻撃者が、この問題を利用して、署名認証中に任意のコードを実行する可能性があります。

注意：libtest-signature-perl は、libmodule-signature-perl の CVE-2015-3407 の修正との互換性を保持するために更新を受け取ります。

perl-Module-Signature 0.79 へのこの更新は、次のセキュリティの問題を修正します：

- 相対パスから @INC のさらなる保護。
 （CVE-2015-3409）

- GPG 署名解析ロジックを修正します。（CVE-2015-3406）

- --skip が指定されない限り、MANIFEST.SKIP はもはや参照されません。（CVE-2015-3407）

- open() モードを適切に使用して、インジェクション攻撃を回避します。
 （CVE-2015-3408）

John Lightsey 氏は、Module: :Signature が PGP 署名境界を正しく処理しないことを発見しました。リモートの攻撃者がこの問題を利用して、Module::Signature が SIGNATURE ファイルの署名されていない部分を署名済み部分として解析するように騙す可能性があります。(CVE-2015-3406)

John Lightsey 氏は、Module: : Signature が、SIGNATURE ファイルにリストされていないファイルを間違って処理していました。リモートの攻撃者がこの欠陥を利用して、テスト中に任意のコードを実行する可能性があります。
(CVE-2015-3407)

John Lightsey 氏は、Module: : Signature が SIGNATURE ファイルに埋め込まれたシェルコマンドを正しく処理していないことを発見しました。リモートの攻撃者が、この問題を利用して、署名認証中に任意のコードを実行する可能性があります。(CVE-2015-3408)

John Lightsey 氏は、Module: : Signature がモジュールのロードを不適切に処理していることを発見しました。リモートの攻撃者が、この問題を利用して、署名認証中に任意のコードを実行する可能性があります。(CVE-2015-3409)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

John Lightsey 氏が、CPAN SIGNATURE ファイルを操作する Perl モジュールである Module::Signature で複数の脆弱性を発見しました。
Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

CVE-2015-3406

Module::Signature が SIGNATURE ファイルの署名のない部分を署名済みの部分として解釈する可能性があります。これは、PGP 署名境界を間違って解析するためです。

CVE-2015-3407

Module::Signature が、SIGNATURE ファイルにリストされていないファイルを間違って処理していました。これには、テストが行われる場合に実行する、t/ ディレクトリのいくつかのファイルが含まれます。

CVE-2015-3408

Module::Signature は、署名済みのマニフェストからチェックサムを生成する際、ファイルの読み込みに 2 つの引数の open() 呼び出しを使用していました。これにより、任意のシェルコマンドを、署名認証プロセスで実行する際に、SIGNATURE ファイルに埋め込むことが可能になりました。

CVE-2015-3409

Module::Signature が間違ってモジュールの読み込みを処理していたので、@INC の相対パスからモジュールを読み込むことが可能でした。悪意のあるモジュールを提供しているリモートの攻撃者が、この問題を利用して、署名認証中に任意のコードを実行する可能性があります。

squeeze ディストリビューションでは、これらの問題は libmodule-signature-perl のバージョン 0.63-1+squeeze2 で修正されています。注意：libtest-signature-perl パッケージも、CVE-2015-3407 修正との互換性のために更新されました。

libmodule-signature-perl および libtest-signature-perl パッケージをアップグレードすることをお勧めします。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
83099	Mandriva Linux セキュリティアドバイザリ：perl-Module-Signature（MDVSA-2015:207）	Nessus	Mandriva Local Security Checks	2015/4/28	2021/1/14	high
83501	Debian DSA-3261-1：libmodule-signature-perl - セキュリティ更新	Nessus	Debian Local Security Checks	2015/5/18	2021/1/11	high
88133	openSUSE セキュリティ更新：perl-Module-Signature（openSUSE-2016-61）	Nessus	SuSE Local Security Checks	2016/1/25	2021/1/19	high
83414	Ubuntu 14.04 LTS : Module: : Signature の脆弱性 (USN-2607-1)	Nessus	Ubuntu Local Security Checks	2015/5/13	2023/10/20	critical
84495	Debian DLA-264-1：libmodule-signature-perl セキュリティ更新	Nessus	Debian Local Security Checks	2015/7/2	2021/1/11	high

検出

プラグインの検索

high

high

high

critical

high