在 Perl5 数据库接口 (DBI) 中发现多个漏洞。攻击者可触发拒绝服务 (DoS) 或可能执行任意代码。

CVE-2019-20919

hv_fetch() 文档要求检查空值，此操作由代码完成。但此后不久，该代码调用 SvOK (profile)，导致空指针取消引用。

CVE-2020-14392

在 Perl-DBI 中发现不受信任的指针取消引用缺陷。如果本地攻击者能够操纵 calls to dbd_db_login6_sv() 调用，则可造成内存损坏，从而影响服务的可用性。

CVE-2020-14393

dbih_setup_handle 函数中过长的 DBD 类名所造成的缓冲区溢出，可能导致写入的数据超出预期限制。

针对 Debian 9 stretch，这些问题已在 1.636-1+deb9u1 版本中修复。

我们建议您升级 libdbi-perl 程序包。

如需了解 libdbi-perl 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/libdbi-perl

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

检测

Debian DLA-2386-1：libdbi-perl 安全更新

high Nessus 插件 ID 140934

版本 1.2