发现 libmodule-signature-perl（一个用于操纵 CPAN SIGNATURE 文件的 Perl 模块）中存在多种漏洞。通用漏洞和暴露计划识别以下问题：

- CVE-2015-3406 John Lightsey 发现，由于未正确处理 PGP 签名边界，Module::Signature 可将 SIGNATURE 文件的未签名部分解析为已签名部分。

- CVE-2015-3407 John Lightsey 发现 Module::Signature 未正确处理没有在 SIGNATURE 文件中列出的文件。这包括 t/ 目录中某些会在运行测试时执行的文件。

- CVE-2015-3408 John Lightsey 发现，从已签名的清单中生成校验和时，Module::Signature 使用双参数 open() 调用来读取文件。这允许向将在签名验证流程期间执行的 SIGNATURE 文件中嵌入任意 shell 命令。

- CVE-2015-3409 John Lightsey 发现，Module::Signature 未正确处理模块加载，允许从 @INC 中的相对路径加载模块。提供恶意模块的远程攻击者可利用此问题在签名验证期间执行任意代码。

请注意，libtest-signature-perl 获得了更新，可与 libmodule-signature-perl 中的 CVE-2015-3407 的补丁兼容。

检测

Debian DSA-3261-1：libmodule-signature-perl - 安全更新

high Nessus 插件 ID 83501

未找到变更日志