更新后的 perl 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 5 和 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Perl 是一种通常用于系统管理实用工具和 Web 编程的高级编程语言。

发现 Perl 中存在堆溢出缺陷。如果 Perl 应用程序允许用户输入控制字符串 repeat 运算符的 count 参数，则攻击者可导致该应用程序崩溃，或可能以运行该应用程序的用户的权限执行任意代码。(CVE-2012-5195)

在 Perl 的二度哈希代码实现（负责重新计算哈希密钥和重新分配哈希内容）处理特定输入的方式中发现拒绝服务缺陷。如果攻击者提供特别构建的输入作为 Perl 应用程序的哈希密钥，则可能导致占用过多内存。
(CVE-2013-1667)

已发现用于处理通用网关接口请求和响应的 Perl CGI 模块没有正确审查 Set-Cookie 和 P3P 标头的值。如果使用 CGI 模块的 Perl 应用程序重新使用 Cookie 值并接受来自 Web 浏览器的不受信任的输入，则远程攻击者可利用此缺陷修改 Cookie 的成员项或添加新项。(CVE-2012-5526)

已发现用于本地化 Perl 应用程序的 Perl Locale::Maketext 模块没有正确处理反斜线或完全限定方法名称。攻击者可能会利用此缺陷，通过使用不受信任的 Locale::Maketext 模板的 Perl 应用程序的权限执行任意 Perl 代码。
(CVE-2012-6329)

Red Hat 在此感谢 Perl 项目报告 CVE-2012-5195 和 CVE-2013-1667。上游感谢 Tim Brown 作为 CVE-2012-5195 的原始报告者，以及 Yves Orton 作为 CVE-2013-1667 的原始报告者。

所有 Perl 用户应升级至这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动所有正在运行的 Perl 程序才能使此更新生效。

来自 Red Hat 安全公告 2013:0685：

更新后的 perl 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 5 和 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Perl 是一种通常用于系统管理实用工具和 Web 编程的高级编程语言。

发现 Perl 中存在堆溢出缺陷。如果 Perl 应用程序允许用户输入控制字符串 repeat 运算符的 count 参数，则攻击者可导致该应用程序崩溃，或可能以运行该应用程序的用户的权限执行任意代码。(CVE-2012-5195)

在 Perl 的二度哈希代码实现（负责重新计算哈希密钥和重新分配哈希内容）处理特定输入的方式中发现拒绝服务缺陷。如果攻击者提供特别构建的输入作为 Perl 应用程序的哈希密钥，则可能导致占用过多内存。
(CVE-2013-1667)

已发现用于处理通用网关接口请求和响应的 Perl CGI 模块没有正确审查 Set-Cookie 和 P3P 标头的值。如果使用 CGI 模块的 Perl 应用程序重新使用 Cookie 值并接受来自 Web 浏览器的不受信任的输入，则远程攻击者可利用此缺陷修改 Cookie 的成员项或添加新项。(CVE-2012-5526)

已发现用于本地化 Perl 应用程序的 Perl Locale::Maketext 模块没有正确处理反斜线或完全限定方法名称。攻击者可能会利用此缺陷，通过使用不受信任的 Locale::Maketext 模板的 Perl 应用程序的权限执行任意 Perl 代码。
(CVE-2012-6329)

Red Hat 在此感谢 Perl 项目报告 CVE-2012-5195 和 CVE-2013-1667。上游感谢 Tim Brown 作为 CVE-2012-5195 的原始报告者，以及 Yves Orton 作为 CVE-2013-1667 的原始报告者。

所有 Perl 用户应升级至这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动所有正在运行的 Perl 程序才能使此更新生效。

远程 Solaris 系统缺少用于处理安全更新的必要修补程序：

  - 5.12.5 之前的 Perl 5.12.x 版本、5.14.3 之前的 5.14.x 版本以及 15.15.5 之前的 5.15.x 版本的 util.c 中的 Perl_repeatcpy 函数中存在基于堆的缓冲区溢出，允许上下文有关的攻击者通过“x”字符串重复运算符造成拒绝服务（内存消耗和崩溃）或执行任意代码。
    (CVE-2012-5195)

远程 OracleVM 系统缺少必要修补程序来解决关键安全更新：

- 不延伸 Time::Local::timelocal 中允许的 epoch 值，删除 64 位平台上无用的警告（解决了：rhbz#1149375）

- 修复自定义信号处理程序的 perl 段错误（解决了：
rhbz#991854）

- 重新排序 AnyDBM_File 后端首选项（解决了：
rhbz#1018721）

- 修复 Locale::Maketext 中的反斜线插入（解决了：rhbz#1029016）

- 针对 64 位平台上的 Time::Local 启用 2038 年（解决了：rhbz#1057047）

- 800340 - strftime 内存泄漏 perl 缺陷 (RT#73520)

- 解决了：rhbz#800340

- 修复 CVE-2012-5195 repeatcpy 的堆缓冲区溢出（解决了：rhbz#915691）

- 修复 CVE-2012-5526 Set-Cookie 和 P3P 标头中不当的 CRLF 转义导致的新行注入（解决了：
rhbz#915691）

- 修复 CVE-2012-6329 可能通过 Locale::Maketext 发生的任意代码执行（解决了：rhbz#915691）

- 修复 CVE-2013-1667 重新对代码进行哈希操作时发生的 DoS（解决了：rhbz#915691）

- 848156 - 恢复了 perl-5.8.8-U32019.patch 的代码

- 解决了：rhbz#848156

リモートの OracleVM システムに、重要なセキュリティ更新に対処するために必要なパッチがありません。

- 64 ビットプラットフォームの役に立たない警告を削除するために、Time::Local::timelocal の epoch の許容値を拡張しない（解決：rhbz#1149375）

- カスタムシグナル処理の perl セグメンテーション違反を修正（解決：
rhbz#991854）

- AnyDBM_File バックエンド設定を並び替え（解決：
rhbz#1018721）

- Locale::Maketext のバックスラッシュの改ざんを修正（解決：rhbz#1029016）

- 64 ビットプラットフォームの Time::Local の 2038 年を有効化（解決：rhbz#1057047）

- 800340 - strftime メモリリーク perl バグ（RT#73520）

- 解決：rhbz#800340

- CVE-2012-5195 repeatcpy のヒープバッファオーバーランを修正（解決：rhbz#915691）

- CVE-2012-5526 Set-Cookie および P3P ヘッダーの CRLF エスケープが不適切なことによる改行の注入を修正（解決：
rhbz#915691）

- CVE-2012-6329 Locale::Maketext 経由の任意のコードの実行の可能性を修正（解決：rhbz#915691）

CVE-2013-1667 コードの再ハッシュにおける DoS を修正（解決：
rhbz#915691）

- 848156 - perl-5.8.8-U32019.patch のコードを戻す

- 解決：rhbz#848156

Red Hat セキュリティアドバイザリ 2013:0685 から：

複数のセキュリティの課題を修正する更新 perl パッケージが、現時点で Red Hat Enterprise Linux 5 および 6 に対して利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Perl は、システム管理ユーティリティや Web プログラミングで一般的に使用される高レベルのプログラミング言語です。

ヒープオーバーフローの欠陥が Perl で見つかりました。Perl アプリケーションが文字列リピートオペレーターのカウント引数を管理するためのユーザー入力をユーザーに許可した場合、攻撃者がアプリケーションをクラッシュしたり、アプリケーションを実行しているユーザーの権限で任意のコードを実行したりする可能性があります。(CVE-2012-5195)

Perl の再ハッシュコード実装が特定の入力を処理する方法で、サービス拒否の欠陥が見つかりました。これは、ハッシュキーの再計算と、ハッシュコンテンツの再ディストリビューションによるものです。攻撃者が Perl のアプリケーションでハッシュキーとして使用するために特別に細工された入力を用意した場合、過剰なメモリ消費を引き起こす可能性があります。
(CVE-2013-1667)

Common Gateway Interface のリクエストと応答を処理するために使用される Perl CGI モジュールが、 Set-Cookie と P3P ヘッダーの値を不適切にサニタイズしたことがわかりました。CGI モジュールを使用する Perl のアプリケーションがクッキーの値を再度使用し、Web ブラウザからの信頼されない入力を受け入れた場合、リモートの攻撃者がこの欠陥を悪用して、クッキーのメンバー項目を変更したり、新しい項目を追加したりする可能性があります。(CVE-2012-5526)

Perl のアプリケーションをローカライズするのに使用された Perl の Locale::Maketext モジュールが、バックスラッシュまたは完全修飾メソッド名を適切に処理しなかったことが見つかりました。攻撃者が、この欠陥を悪用し、信頼されない Locale::Maketext テンプレートを使用する Perl のアプリケーションの権限で任意の Perl コードを実行する可能性があります。
(CVE-2012-6329)

Red Hat は、CVE-2012-5195 および CVE-2013-1667 を報告してくれた Perl プロジェクトに感謝の意を表します。Upstream は、Tim Brown を CVE-2012-5195 のオリジナルレポーターとして、Yves Orton を CVE-2013-1667 のオリジナルレポーターとして認めています。

すべての Perl ユーザーが、バックポートのパッチを含み、これらの問題を修正する、これらの更新パッケージにアップグレードする必要があります。この更新を有効にするには、すべての実行中の Perl プログラムを再起動する必要があります。

2 つの脆弱性が、Perl プログラミング言語の実装で発見されました。

- CVE-2012-5195 「x」演算子のために、非常に長い文字列を作成した場合、Perl インタープリターがクラッシュする可能性がありました。

- CVE-2012-5526 CGI モジュールが Set-Cookie および P3P ヘッダーの LF 文字を適切にエスケープしません。

さらに、この更新で、このパッケージが信頼できないデータの逆シリアル化に適さないという警告が、Storable のドキュメントに追加されます。

リモートの Solaris システムに、次のセキュリティの更新に対処するのに必要なパッチがありません：

- 5.12.5 より前の Perl 5.12.x、5.14.3 より前の Perl 5.14.x、および 5.15.5 より前の Perl 5.15.x において、 util.c の Perl_repeatcpy 関数のヒープベースのバッファオーバーフローにより、コンテキスト依存の攻撃者が、サービス拒否（メモリ消費とクラッシュ）を引き起こしたり、「x」文字列の繰り返し演算子で任意のコードを実行したりする可能性があります。
 (CVE-2012-5195)

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 5.12.x5.12.5以前の Perl、 [ 5.14.3以前の 5.14.x Perl 、 15.15.55.15.x 以前の Perl では、util.c の Perl_repeatcpy 関数に存在するヒープベースのバッファオーバーフローにより、コンテキスト依存の攻撃者がサービス拒否（メモリ消費およびクラッシュ）を引き起こす可能性があります。 ）または「x」文字列繰り返し演算子を介して任意のコードを実行する可能性があります。
    (CVE-2012-5195)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

複数のセキュリティの課題を修正する更新 perl パッケージが、現時点で Red Hat Enterprise Linux 5 および 6 に対して利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Perl は、システム管理ユーティリティや Web プログラミングで一般的に使用される高レベルのプログラミング言語です。

ヒープオーバーフローの欠陥が Perl で見つかりました。Perl アプリケーションが文字列リピートオペレーターのカウント引数を管理するためのユーザー入力をユーザーに許可した場合、攻撃者がアプリケーションをクラッシュしたり、アプリケーションを実行しているユーザーの権限で任意のコードを実行したりする可能性があります。(CVE-2012-5195)

Perl の再ハッシュコード実装が特定の入力を処理する方法で、サービス拒否の欠陥が見つかりました。これは、ハッシュキーの再計算と、ハッシュコンテンツの再ディストリビューションによるものです。攻撃者が Perl のアプリケーションでハッシュキーとして使用するために特別に細工された入力を用意した場合、過剰なメモリ消費を引き起こす可能性があります。
(CVE-2013-1667)

Common Gateway Interface のリクエストと応答を処理するために使用される Perl CGI モジュールが、 Set-Cookie と P3P ヘッダーの値を不適切にサニタイズしたことがわかりました。CGI モジュールを使用する Perl のアプリケーションがクッキーの値を再度使用し、Web ブラウザからの信頼されない入力を受け入れた場合、リモートの攻撃者がこの欠陥を悪用して、クッキーのメンバー項目を変更したり、新しい項目を追加したりする可能性があります。(CVE-2012-5526)

Perl のアプリケーションをローカライズするのに使用された Perl の Locale::Maketext モジュールが、バックスラッシュまたは完全修飾メソッド名を適切に処理しなかったことが見つかりました。攻撃者が、この欠陥を悪用し、信頼されない Locale::Maketext テンプレートを使用する Perl のアプリケーションの権限で任意の Perl コードを実行する可能性があります。
(CVE-2012-6329)

Red Hat は、CVE-2012-5195 および CVE-2013-1667 を報告してくれた Perl プロジェクトに感謝の意を表します。Upstream は、Tim Brown を CVE-2012-5195 のオリジナルレポーターとして、Yves Orton を CVE-2013-1667 のオリジナルレポーターとして認めています。

すべての Perl ユーザーが、バックポートのパッチを含み、これらの問題を修正する、これらの更新パッケージにアップグレードする必要があります。この更新を有効にするには、すべての実行中の Perl プログラムを再起動する必要があります。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
65694	CentOS 5 / 6：perl (CESA-2013:0685)	Nessus	CentOS Local Security Checks	2013/3/27	2021/1/4	high
68797	Oracle Linux 5 / 6：perl (ELSA-2013-0685)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	critical
80734	Oracle Solaris 第三方修补程序更新：perl-58 (cve_2012_5195_buffer_errors)	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	high
91752	OracleVM 3.2：perl (OVMSA-2016-0076)	Nessus	OracleVM Local Security Checks	2016/6/22	2021/1/4	high
91752	OracleVM 3.2：perl（OVMSA-2016-0076）	Nessus	OracleVM Local Security Checks	2016/6/22	2021/1/4	high
68797	Oracle Linux 5/6：perl（ELSA-2013-0685）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	critical
63270	Debian DSA-2586-1：perl - いくつかの脆弱性	Nessus	Debian Local Security Checks	2012/12/17	2021/1/11	high
80734	Oracle Solaris サードパーティのパッチの更新：perl-58（cve_2012_5195_buffer_errors）	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	high
217771	Linux Distros のパッチ未適用の脆弱性: CVE-2012-5195	Nessus	Misc.	2025/3/4	2025/3/4	critical
65694	CentOS 5 / 6：perl（CESA-2013:0685）	Nessus	CentOS Local Security Checks	2013/3/27	2021/1/4	high

检测

插件搜索

high

critical

high

high

high

critical

high

high

critical

high