GLSA-201709-12：Perl：争用情形漏洞

medium Nessus 插件 ID 103280

语言：

简介

远程 Gentoo 主机缺少一个或多个与安全有关的修补程序。

描述

远程主机受到 GLSA-201709-12 中所述漏洞的影响（Perl：争用情形漏洞）并发环境中发生争用情形。The cPanel Security Team 在 2.13 之前的 Perl File-Path 模块的 rmtree 和 remove_tree 函数中发现此情形。这是因为认定 inode 是一个目录的 stat() 和尝试将之变成 user-rwx 的 chmod() 之间的检查时间与使用时间 (TOCTOU) 争用情形所致。影响：本地攻击者可恶意利用此情形，在任意文件上设定任意模式值，进而绕过安全限制。解决方法：目前无任何已知的解决方法。

解决方案

所有 Perl 用户均应升级到最新版本：# emerge --sync # emerge --ask --oneshot --verbose '>=dev-lang/perl-5.24.1-r2' 所有 File-Path 用户均应升级到最新版本：# emerge --sync # emerge --ask --oneshot --verbose '>=perl-core/File-Path-2.130.0' 所有 Perl-File-Path 用户均应升级到最新版本：# emerge --sync # emerge --ask --oneshot --verbose '>=virtual/perl-File-Path-2.130.0'