Perl 是一种通常用于系统管理实用工具和 Web 编程的高级编程语言。Safe 扩展模块允许用户在受限制的隔离舱内编译和执行 Perl 代码。File::Path 模块允许用户创建和删除目录树。

Safe 模块未对隐式批准对象（作为不安全代码评估的结果返回）上隐式调用的方法（如 DESTROY 和 AUTOLOAD）的代码加以正确地限制。Safe 可能已在此类对象被访问或销毁时不加限制地执行了这些方法。在 Safe 隔离舱内执行的、特别构建的 Perl 脚本可利用此缺陷绕过预期的 Safe 模块限制。(CVE-2010-1168)

Safe 模块未对在 Safe 隔离舱中编译并且在隔离舱外通过作为不安全代码评估的结果而返回的子例程引用来执行的代码加以正确限制。如果返回的子例程引用是从隔离舱外调用的，则在 Safe 隔离舱内执行的、特别构建的 Perl 脚本可利用此缺陷绕过预期的 Safe 模块限制。
(CVE-2010-1447)

在 File::Path 模块的 rmtree 函数删除目录树的方式中发现多个争用条件。如果受害者有权限来更改目标文件的权限或者将其删除，则具有受害者正删除的目录写权限的恶意本地用户通过使用 rmtree 运行 Perl脚本，可导致将任意文件的权限更改为全局可写和 setuid，或可通过符号链接攻击来删除任意文件。（CVE-2008-5302、CVE-2008-5303）

这些程序包将 Safe 扩展模块升级到 2.27 版本。
请参阅以下链接中安全模块的变更文件，获取完整的变更列表。
http://cpansearch.perl.org/src/RGARCIA/Safe-2.27/Changes

必须重新启动所有使用 Safe 或 File::Path 模块的应用程序，才能使更新生效。

注意：SL 50-52 x86_64 版本最初包含 perl.i386 程序包。它已从 x86_64 SL5 发行版本中删除，不再是该安全更新的一部分。如果您具有较早的 SL5 x86_64 发行版本且 perl 更新因冲突而无法工作，则应在这些较早的 SL 5 x86_64 版本上执行更新前执行“yum remove perl.i386”。

来自 Red Hat 安全公告 2010:0458：

更新后的 perl 程序包修复了多个安全问题，现可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Perl 是一种通常用于系统管理实用工具和 Web 编程的高级编程语言。Safe 扩展模块允许用户在受限制的隔离舱内编译和执行 Perl 代码。File::Path 模块允许用户创建和删除目录树。

Safe 模块未对隐式批准对象（作为不安全代码评估的结果返回）上隐式调用的方法（如 DESTROY 和 AUTOLOAD）的代码加以正确地限制。Safe 可能已在此类对象被访问或销毁时不加限制地执行了这些方法。在 Safe 隔离舱内执行的、特别构建的 Perl 脚本可利用此缺陷绕过预期的 Safe 模块限制。(CVE-2010-1168)

Safe 模块未对在 Safe 隔离舱中编译并且在隔离舱外通过作为不安全代码评估的结果而返回的子例程引用来执行的代码加以正确限制。如果返回的子例程引用是从隔离舱外调用的，则在 Safe 隔离舱内执行的、特别构建的 Perl 脚本可利用此缺陷绕过预期的 Safe 模块限制。
(CVE-2010-1447)

在 File::Path 模块的 rmtree 函数删除目录树的方式中发现多个争用条件。如果受害者有权限来更改目标文件的权限或者将其删除，则具有受害者正删除的目录写权限的恶意本地用户通过使用 rmtree 运行 Perl脚本，可导致将任意文件的权限更改为全局可写和 setuid，或可通过符号链接攻击来删除任意文件。（CVE-2008-5302、CVE-2008-5303）

Red Hat 在此感谢 Tim Bunce 负责地报告了 CVE-2010-1168 和 CVE-2010-1447 问题。上游感谢 CVE-2010-1168 的原始报告者 Nick Cleaton以及 CVE-2010-1447 的原始报告者 Tim Bunce 和 Rafaël Garcia-Suarez。

这些程序包将 Safe 扩展模块升级到 2.27 版本。
请参阅 Safe 模块的变更文件（“参考”中有链接）获取完整的变更列表。

建议 perl 用户升级这些更新后的程序包，修正这些问题。必须重新启动所有使用 Safe 或 File::Path 模块的应用程序，才能使更新生效。

远程主机受到 GLSA-201311-17 中所述漏洞的影响（Perl：多种漏洞）

在 Perl 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

本地攻击者可造成拒绝服务情况或执行符号链接攻击，以便以运行该应用程序的用户的权限覆盖任意文件。上下文有关的攻击者可造成拒绝服务情况。
 变通方案：

目前无任何已知的变通方案。

远程 VMware ESX 主机缺少与安全有关的修补程序。因此，它受到多个第三方组件和库中的多种漏洞影响，包括远程代码执行漏洞：

- GNU cpio
 - GNU cpio on 64-bit
 - GNU tar
 - Kerberos 5
 - Perl
 - PostgreSQL
 - Safe Module for Perl Automagic Methods
 - Samba smbd

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
60801	Scientific Linux 安全更新：SL5.x i386/x86_64 中的 perl	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	high
68048	Oracle Linux 5：perl (ELSA-2010-0458)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high
71119	GLSA-201311-17 : Perl：多种漏洞	Nessus	Gentoo Local Security Checks	2013/11/29	2021/1/6	medium
89741	VMware ESX 多种漏洞 (VMSA-2010-0013)（远程检查）	Nessus	VMware ESX Local Security Checks	2016/3/8	2021/1/6	high

检测

插件搜索

high

high

medium

high