此 Perl 更新可修复以下问题：

- CVE-2016-6185：Xsloader 查看“(eval)”目录。
 (bsc#988311)

- CVE-2016-1238：在当前目录中搜索可选模块。(bsc#987887)

- CVE-2015-8853：在遇到错误的 utf8 时挂起的正则表达式引擎。(bsc)

- CVE-2016-2381：环境 dup 处理缺陷。
 (bsc#967082)

- 受感染模式下的“请求中的不安全依存关系”错误。
 (bsc#984906)

-“use utf8”处理中的内存泄漏。(bsc#928292)

- 缺少调试程序的锁定原型。(bsc#932894)

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

此 Perl 更新可修复以下问题：

- CVE-2016-6185：Xsloader 查看“(eval)”目录。
 (bsc#988311)

- CVE-2016-1238：在当前目录中搜索可选模块。(bsc#987887)

- CVE-2015-8853：在遇到错误的 utf8 时挂起的正则表达式引擎。(bsc)

- CVE-2016-2381：环境 dup 处理缺陷。
 (bsc#967082)

- 受感染模式下的“请求中的不安全依存关系”错误。
 (bsc#984906)

-“use utf8”处理中的内存泄漏。(bsc#928292)

- 缺少调试程序的锁定原型。(bsc#932894)

此更新从 SUSE:SLE-12:Update 更新项目导入。

在 Perl 编程语言的实现中发现多种漏洞。通用漏洞和暴露计划识别以下问题：

CVE-2016-1238

John Lightsey 与 Todd Rinaldo 报告，机会性加载可选模块可使许多程序无意间从当前工作目录（其可能在用户不知情的情况下更改为其他目录）加载代码，并可能导致权限升级，这一点已由含有某些已安装程序包组合的 Debian 所证实。

此问题与 Perl 从包含目录数组 ('@INC') 中加载模块有关，其中的最后一个元素就是当前目录 ('.')。这表示“perl”想要加载模块（在运行时第一次编译或消极加载模块时）时，perl 会在末端的当前目录中查找模块，因为“.”是其要查找的包含目录数组中的最后一个包含目录。问题在于位于“.”中但未以其他方式安装的必要库。

通过此更新，已知受影响的多个模块会更新为不从当前目录加载模块。

此外，更新允许在转换期间从 /etc/perl/sitecustomize.pl 中的 @INC 对“.”进行可配置删除。如果已评估某个特定网站的潜在中断，建议启用此设置。
在 Debian 中提供的程序包内，因切换至从 @INC 中删除“.”而导致的问题应向 Perl 维护人员报告，地址为 perl@packages.debian.org。

CVE-2016-6185

已发现用于将 C 库动态加载 Perl 代码的 Perl 核心模块 XSLoader 可能从不正确的位置加载共享代码。XSLoader 使用 caller() 信息来查找要加载的 .so 文件。如果在字符串 eval 中调用 XSLoader::load()，这可能会不正确。攻击者可利用此缺陷执行任意代码。

对于 Debian 7“Wheezy”，这些问题已在 5.14.2-21+deb7u4 版本中修复。

建议您升级 perl 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程主机受到 GLSA-201701-75 中所述漏洞的影响（Perl：多个漏洞）在 Perl 中发现多个漏洞。请检查下面引用的 CVE 标识符以了解详细信息。影响：远程攻击者可能以进程的权限执行任意代码，造成拒绝服务条件或者提升权限。解决方法：目前无任何已知的解决方法。

在 Perl 编程语言的实现中发现多种漏洞。通用漏洞和暴露计划识别以下问题：

- CVE-2016-1238 John Lightsey 与 Todd Rinaldo 报告，机会性加载可选模块可使许多程序无意间从当前工作目录（其可能在用户不知情的情况下更改为其他目录）加载代码，并可能导致权限升级，这一点已由含有某些已安装程序包组合的 Debian 所证实。

此问题与 Perl 从包含目录数组 ('@INC') 中加载模块有关，其中的最后一个元素就是当前目录 ('.')。这表示“perl”想要加载模块（在运行时第一次编译或消极加载模块时）时，perl 会在末端的当前目录中查找模块，因为“.”是其要查找的包含目录数组中的最后一个包含目录。问题在于位于“.”中但未以其他方式安装的必要库。

通过此更新，已知受影响的多个模块会更新为不从当前目录加载模块。

此外，更新允许在转换期间从 /etc/perl/sitecustomize.pl 中的 @INC 对“.”进行可配置删除。如果已评估某个特定网站的潜在中断，建议启用此设置。在 Debian 中提供的程序包内，因切换至从 @INC 中删除“.”而导致的问题应向 Perl 维护人员报告，地址为 perl@packages.debian.org。

如果可能，计划在 perl 的后续更新中通过点版本切换为 @INC 中“.”的默认删除，而且在即将发行的稳定版本 Debian 9 (stretch) 中一定会切换。

- CVE-2016-6185 已发现用于将 C 库动态加载 Perl 代码的 Perl 内核模块 XSLoader 可能从不正确的位置加载共享代码。XSLoader 使用 caller() 信息来查找要加载的 .so 文件。如果在字符串 eval 中调用 XSLoader::load()，这可能会不正确。攻击者可利用此缺陷执行任意代码。

Jakub Wilk 报告：

当在字符串 eval 内部调用时，XSLoader 尝试从 cwd 中的子目录加载代码

发现 Perl 未能正确处理某些正则表达式。攻击者可能利用此问题造成 Perl 挂起，从而导致拒绝服务。此问题仅影响 Ubuntu 14.04 LTS。(CVE-2015-8853)

发现 Perl 未能正确从当前工作目录加载库。本地攻击者可能利用此问题执行任意代码。此问题仅影响 Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2016-6185)

发现 Perl 未能正确处理 rmtree 和 remove_tree 函数。本地攻击者可能利用此问题设置任意文件的模式。此问题仅影响 Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2017-6512)

Brian Carpenter 发现 Perl 未能正确处理某些正则表达式。攻击者可利用此问题造成 Perl 崩溃，进而导致拒绝服务，或可能执行任意代码。此问题只在 Ubuntu 16.04 LTS 和 Ubuntu 17.10 得到解决。(CVE-2018-6797)

Nguyen Duc Manh 发现 Perl 未能正确处理某些正则表达式。攻击者可利用此问题造成 Perl 崩溃，从而导致拒绝服务。此问题仅影响 Ubuntu 16.04 LTS 和 Ubuntu 17.10。(CVE-2018-6798)

GwanYeong Kim 发现 Perl 在使用 pack 函数时，未能正确处理某些数据。攻击者可利用此问题造成 Perl 崩溃，进而导致拒绝服务，或可能执行任意代码。(CVE-2018-6913)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行了自动清理和排版。

此 perl 更新可修复以下问题：

- CVE-2016-6185：xsloader 查看“(eval)”目录 [bsc#988311]

- CVE-2016-1238：在当前目录中搜索可选模块 [bsc#987887]

- CVE-2015-8853：regex 引擎在遇到错误的 utf8 时挂起 [bnc976584]

- CVE-2016-2381：环境 dup 处理缺陷 [bsc#967082]

- utf8_mg_pos_cache_update 的 perl 错误 [bsc#929027]

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

这将修复 CVE-2016-6185 漏洞（不让 XSLoader 加载相对路径）。

请注意，Tenable Network Security 已直接从 Fedora 更新系统网站提取上述描述块。
Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
93437	SUSE SLED12 / SLES12 安全更新：perl (SUSE-SU-2016:2263-1)	Nessus	SuSE Local Security Checks	2016/9/12	2021/1/6	high
93583	openSUSE 安全更新：perl (openSUSE-2016-1086)	Nessus	SuSE Local Security Checks	2016/9/19	2021/1/19	high
92613	Debian DLA-565-1：perl 安全更新	Nessus	Debian Local Security Checks	2016/7/29	2021/1/11	high
96861	GLSA-201701-75：Perl：多个漏洞	Nessus	Gentoo Local Security Checks	2017/1/30	2021/1/11	high
92548	Debian DSA-3628-1：perl - 安全更新	Nessus	Debian Local Security Checks	2016/7/26	2021/1/11	high
92739	FreeBSD：p5-XSLoader -- 本地任意代码执行 (3e08047f-5a6c-11e6-a6c3-14dae9d210b8)	Nessus	FreeBSD Local Security Checks	2016/8/5	2021/1/4	high
109086	Ubuntu 14.04 LTS / 16.04 LTS：Perl 漏洞 (USN-3625-1)	Nessus	Ubuntu Local Security Checks	2018/4/17	2023/10/23	critical
93371	SUSE SLES11 安全更新：perl (SUSE-SU-2016:2246-1)	Nessus	SuSE Local Security Checks	2016/9/8	2021/1/19	high
92335	Fedora 22：4:perl (2016-eb2592245b)	Nessus	Fedora Local Security Checks	2016/7/18	2021/1/11	high
92386	Fedora 24：4:perl (2016-485dff6060)	Nessus	Fedora Local Security Checks	2016/7/19	2021/1/11	high
92388	Fedora 23：4:perl (2016-742bde2be7)	Nessus	Fedora Local Security Checks	2016/7/19	2021/1/11	high

检测

插件搜索

high

high

high

high

high

high

critical

high

high

high

high