Jonathan Dolle 报告 HTTP::Body（一个用于处理 HTTP POST 请求中数据的 Perl 模块）中存在设计错误。HTTP 正文多部分解析器会创建其中保留已上传文件后缀的临时文件。能够将文件上传到使用 HTTP::Body::Multipart 的服务的攻击者可能会在服务器上执行命令，前提是在未经更多检查的情况下在后续命令中使用这些临时文件名。

此更新限制了用于所创建的临时文件的可能后缀。

旧稳定发行版本 (squeeze) 不受此问题的影响。

检测

Debian DSA-2801-1：libhttp-body-perl - 设计错误

medium Nessus 插件 ID 71025

未找到变更日志