此更新修正了 Digest 对象构造函数 (CVE-2011-3597)= 以及解释器解码 Unicode 字符串 (CVE-2011-2939) 的安全缺陷。
---------------------------------------------------------------------------=

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

已在 perl 中发现并修正了多种漏洞：

在低于 5.15.6 的 Perl 中，低于 2.44 的 Encode 模块的 Unicode/Unicode.xs 的 decode_xs 函数中的差一错误允许上下文有关的攻击者通过构建的 Unicode 字符串（触发基于堆的缓冲区溢出）造成拒绝服务（内存损坏）(CVE-2011-2939)。

低于 Perl 1.17 的 Digest 模块中的 Eval 注入可允许上下文有关的攻击者通过新的构造函数执行任意命令 (CVE-2011-3597)。

更新后的程序包已进行修补，以修正这些问题。

Perl 是一种通常用于系统管理实用工具和 Web 编程的高级编程语言。

在 Perl 解码 Unicode 字符串的方式中发现一个基于堆的缓冲区溢出缺陷。攻击者可创建恶意 Unicode 字符串，当由 Perl 程序进行解码时，将导致该程序崩溃，或可能以运行该程序的用户权限执行任意代码。(CVE-2011-2939)

发现 Digest 模块的“new”构造函数将其参数用作传递到 eval() 函数的字符串表达式的一部分。攻击者可能利用此缺陷以 Perl 程序的权限执行任意 Perl 代码，该 Perl 程序将不受信任的输入用作构造函数的参数。(CVE-2011-3597)

所有 Perl 用户应升级至这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动所有正在运行的 Perl 程序才能使此更新生效。

发现 Encode 模块中的 decode_xs 函数容易受到通过构建的 Unicode 字符串造成的基于堆的缓冲区溢出的影响。攻击者可使用此溢出来造成拒绝服务。(CVE-2011-2939)

发现 Digest 模块中的“new”构造函数容易受到 eval 注入的影响。攻击者可利用此漏洞执行任意代码。(CVE-2011-3597)

已发现 Perl 的“x”字符串重复运算符容易受到基于堆的缓冲区溢出的影响。攻击者可利用此漏洞执行任意代码。(CVE-2012-5195)

Ryo Anazawa 发现 CGI.pm 模块未正确转义 Set-Cookie 或 P3P（个人隐私安全平台项目）标头中的换行符。攻击者可使用此问题将任意标头注入使用 CGI.pm 的应用程序的响应。
(CVE-2012-5526)。

更新到 icedtea-web 的版本 1.1.4 以修复以下问题：

- CVE-2011-3377：IcedTea-Web：二级域的子域和后缀域 SOP 绕过

- PR778：Jar 下载和服务器证书验证死锁

Perl 的此更新修复了 decode_xs() 函数中的基于堆的缓冲区溢出（CVE-2011-2939、bnc#728662）。

在 Perl 解码 Unicode 字符串的方式中发现一个基于堆的缓冲区溢出缺陷。攻击者可创建恶意 Unicode 字符串，当由 Perl 程序进行解码时，将导致该程序崩溃，或可能以运行该程序的用户权限执行任意代码。(CVE-2011-2939)

发现 Digest 模块的“new”构造函数将其参数用作传递到 eval() 函数的字符串表达式的一部分。攻击者可能利用此缺陷以 Perl 程序的权限执行任意 Perl 代码，该 Perl 程序将不受信任的输入用作构造函数的参数。(CVE-2011-3597)

远程 Solaris 系统缺少用于处理安全更新的必要修补程序：

- Perl 5.6.1 和 5.8.4 的 File::Path 模块的 rmtree 函数中的争用条件设置了全局读/写权限，从而允许本地用户通过符号链接攻击删除任意文件和目录，并可能读取文件和目录。
 (CVE-2004-0452)

- 当安装有 setuid 支持 (sperl) 时，Perl 5.8.0 的 PerlIO 实现中的缓冲区溢出允许本地用户通过设置 PERLIO_DEBUG 变量和执行 Perl 脚本（其完整路径名包含长目录树）执行任意代码。
 (CVE-2005-0156)

- 低于 5.8.4 的 Perl 的 File::Path.pm 的 rmtree 函数中的争用条件允许本地用户在被删除的树中创建任意 setuid 二进制文件，此漏洞与 CVE-2004-0452 不同。
 (CVE-2005-0448)

- 在 Gentoo Linux 中，低于 5.8.7-r1 的 Perl 中的不受信任搜索路径漏洞允许 portage 群组中的本地用户通过 Portage 临时版本目录中的恶意共享对象（RUNPATH 的一部分）获取权限。(CVE-2005-4278)

- Perl 5.8.x 的正则表达式引擎中的整数溢出允许上下文有关的攻击者通过将构建的正则表达式与长字符串相匹配，造成拒绝服务（堆栈消耗和应用程序崩溃）。(CVE-2010-1158)

- 在低于 5.15.6 的 Perl 中，低于 2.44 的 Encode 模块的 Unicode/Unicode.xs 的 decode_xs 函数中的差一错误允许上下文有关的攻击者通过构建的 Unicode 字符串（触发基于堆的缓冲区溢出）造成拒绝服务（内存损坏）。(CVE-2011-2939)

- 3.63 之前的 Perl 的 CGI.pm 模块未正确对 (1) Set-Cookie 或 (2) P3P 标头中的换行符进行转义，这可允许远程攻击者向使用 CGI.pm 的应用程序中的响应注入任意标头。(CVE-2012-5526)

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2011:1424 公告中提及的多个漏洞的影响。

    Perl 是一种通常用于系统管理实用工具和 Web 编程的高级编程语言。

    在 Perl 解码 Unicode 字符串的方式中发现一个基于堆的缓冲区溢出缺陷。攻击者可创建恶意的 Unicode 字符串当 Perl 程序解码该字符串时将导致程序崩溃或者可能以运行程序的用户的权限执行任意代码。 (CVE-2011-2939)

    已发现 Digest 模块的新构造函数将其参数作为传递给 eval() 函数的部分字符串表达式。如果将不受信任的输入用作构造函数的参数则攻击者可能利用此缺陷以 Perl 程序的权限执行任意 Perl 代码。 (CVE-2011-3597)

    所有 Perl 用户应升级至这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动所有正在运行的 Perl 程序才能使此更新生效。

    注意相应 spec 文件中的一个错误导致在原始 RHSA-2011:1424 公告中为 perl-Compress-Raw-Zlib 程序包引用了错误的版本号。有关更多信息请查看 https://access.redhat.com/solutions/239773。



Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

来自 Red Hat 安全公告 2011:1424：

更新后的 perl 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Perl 是一种通常用于系统管理实用工具和 Web 编程的高级编程语言。

在 Perl 解码 Unicode 字符串的方式中发现一个基于堆的缓冲区溢出缺陷。攻击者可创建恶意 Unicode 字符串，当由 Perl 程序进行解码时，将导致该程序崩溃，或可能以运行该程序的用户权限执行任意代码。(CVE-2011-2939)

发现 Digest 模块的“new”构造函数将其参数用作传递到 eval() 函数的字符串表达式的一部分。攻击者可能利用此缺陷以 Perl 程序的权限执行任意 Perl 代码，该 Perl 程序将不受信任的输入用作构造函数的参数。(CVE-2011-3597)

所有 Perl 用户应升级至这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动所有正在运行的 Perl 程序才能使此更新生效。

远程主机受到 GLSA-201401-11 中所述漏洞的影响（Perl、Locale Maketext Perl 模块：多种漏洞）

已在 Perl 和 Locale::Maketext Perl 模块中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

上下文有关的攻击者可能以进程的权限执行任意代码，或者造成拒绝服务情况。
 变通方案：

目前无任何已知的变通方案。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 2.44之前的 Encode 模块中，Unicode/Unicode.xs 的 decode_xs 函数与 5.15.6之前的 Perl 中所使用的一样，存在差一错误，可能允许上下文有关的攻击者通过构建的 Unicode 字符串，会触发基于堆的缓冲区溢出。 (CVE-2011-2939)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程MiracleLinux 4 主机上存在安装的程序包该程序包受到 AXSA:2012-353:01 公告中提及的多个漏洞的影响。

    Perl 是一种植根于 C、sed、awk 和 shell 脚本的高级编程语言。Perl 适合处理进程和文件，特别适合处理文本。Perl 的标志是实用、高效。尽管 Perl 的用途十分广泛，但最常见的应用还是系统管理实用工具和 Web 编程。Web 上的很大一部分 CGI 脚本都是用 Perl 编写的。需要在系统上安装 perl 程序包以便系统可以处理 Perl 脚本。
    如果要在 Perl 中编程或要使系统能够处理 Perl 脚本请安装此程序包。
    此版本修复的安全问题
    CVE-2011-2939 之前的 Encode 模块中 Unicode/Unicode.xs 的 decode_xs 函数存在差一错误 2.44在 5.15.6之前的 Perl 中使用时上下文有关的攻击者可造成拒绝服务内存损坏通过构建的 Unicode 字符串触发基于堆的缓冲区溢出。
    CVE-2011-3597 用于 Perl 的 1.17 之前版本的 Digest 模块中的 Eval 注入允许上下文有关的攻击者通过新的构造函数执行任意命令。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
56696	Fedora 14：perl-5.12.4-147.fc14 (2011-13874)	Nessus	Fedora Local Security Checks	2011/11/3	2021/1/11	high
57593	Mandriva Linux 安全公告：perl (MDVSA-2012:008)	Nessus	Mandriva Local Security Checks	2012/1/19	2021/1/6	high
61169	Scientific Linux 安全更新：SL6.x i386/x86_64 中的 perl	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	high
63109	Ubuntu 8.04 LTS / 10.04 LTS / 11.10 / 12.04 LTS / 12.10：perl 漏洞 (USN-1643-1)	Nessus	Ubuntu Local Security Checks	2012/11/30	2019/9/19	high
75865	openSUSE 安全更新：icedtea-web (openSUSE-SU-2011:1251-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/14	medium
75994	openSUSE 安全更新：perl (openSUSE-SU-2011:1278-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
69578	Amazon Linux AMI：perl (ALAS-2011-19)	Nessus	Amazon Linux Local Security Checks	2013/9/4	2018/4/18	high
75529	openSUSE 安全更新：icedtea-web (openSUSE-SU-2011:1251-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/14	medium
80731	Oracle Solaris 第三方修补程序更新：perl-58 (cve_2012_5526_configuration_vulnerability1)	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	high
56709	RHEL 6：perl (RHSA-2011:1424)	Nessus	Red Hat Local Security Checks	2011/11/4	2025/12/12	critical
68383	Oracle Linux 6：perl (ELSA-2011-1424)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	critical
72033	GLSA-201401-11：Perl、Locale Maketext Perl 模块：多种漏洞	Nessus	Gentoo Local Security Checks	2014/1/20	2021/1/6	high
217444	Linux Distros 未修补的漏洞: CVE-2011-2939	Nessus	Misc.	2025/3/3	2026/1/28	critical
283947	MagicLinux 4perl-5.10.1-119.AXS4.1 (AXSA:2012-353:01)	Nessus	Miracle Linux Local Security Checks	2026/1/14	2026/1/14	critical
75707	openSUSE 安全更新：perl (openSUSE-SU-2011:1278-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/14	medium

检测

插件搜索

high

high

high

high

medium

medium

high

medium

high

critical

critical

high

critical

critical

medium