Бюллетень безопасности RHSA-2011:0558-01

Средняя (5.0)

(AV:N/AC:L/Au:N/C:N/I:P/A:N)

RedHat

perl (any) perl-Archive-Extract (any) perl-Archive-Tar (any) perl-CGI (any) perl-Compress-Raw-Zlib (any) perl-Compress-Zlib (any) perl-core (any) perl-CPAN (any) perl-CPANPLUS (any) perl-devel (any) perl-Digest-SHA (any) perl-ExtUtils-CBuilder (any) perl-ExtUtils-Embed (any) perl-ExtUtils-MakeMaker (any) perl-ExtUtils-ParseXS (any) perl-File-Fetch (any) perl-IO-Compress-Base (any) perl-IO-Compress-Zlib (any) perl-IO-Zlib (any) perl-IPC-Cmd (any) perl-libs (any) perl-Locale-Maketext-Simple (any) perl-Log-Message (any) perl-Log-Message-Simple (any) perl-Module-Build (any) perl-Module-CoreList (any) perl-Module-Load (any) perl-Module-Load-Conditional (any) perl-Module-Loaded (any) perl-Module-Pluggable (any) perl-Object-Accessor (any) perl-Package-Constants (any) perl-Params-Check (any) perl-parent (any) perl-Parse-CPAN-Meta (any) perl-Pod-Escapes (any) perl-Pod-Simple (any) perl-suidperl (any) perl-Term-UI (any) perl-Test-Harness (any) perl-Test-Simple (any) perl-Time-HiRes (any) perl-Time-Piece (any) perl-version (any)

Perl является языком программирования высокого уровня, который обычно используется для системных утилит администрирования и для веб-программирования. Модуль Perl CGI предоставляет ресурсы для подготовки и выполнения запросов и ответов Common Gateway Interface (CGI), основанных на HTTP.
Обнаружено, что модуль Perl CGI использует жестко запрограммированное значение для строки MIME boundary в содержимом multipart/x-mixed-replace. Злоумышленник, действующий удаленно, может также использовать эту ошибку, чтобы провести атаку расщепления HTTP-ответа, используя специально сформированный HTTP-запрос. (CVE-2010-2761)
Ошибка, связанная с внедрением CRLF, обнаружена в модуле Perl CGI. Злоумышленник, действующий удаленно, может провести атаку расщепления HTTP-ответа, используя специально сформированную последовательность символов, отправив ее модулю CGI. (CVE-2010-4410)
Обнаружено, что некоторые функции обработки строк в Perl (например, uc() и lc()) работают некорректно. Злоумышленник, действующий удаленно, может использовать данную уязвимость, чтобы обойти механизм защиты Perl в режиме taint в сценариях, которые используют уязвимые функции для обработки входных данных. (CVE-2011-1487)
Данное исправление обновляет модуль CGI до версии 3.51.
Данное исправление также обновляет следующие ошибки:
* При использовании модуля "threads" попытка отправить сигнал потоку, который не имеет обработчика сигнала, приводит к отказу в обслуживании интерпретатора perl из-за ошибки сегментации. Данное исправление обновляет модуль "threads" до версии 1.82, в которой исправлена эту ошибка. В результате отправка сигнала потоку, который не имеет обработчик сигналов, не приводит к отказу в обслуживании perl. (BZ#626330)
* До установки данного обновления пакет perl не требует наличия модуля Digest::SHA.Из-за этого, когда пользователь запускает cpanиз командной строки и пытается загрузить дистрибутив через CPAN, он может увидеть следующее сообщение:
CPAN: checksum security checks disabled because Digest::SHA not installed.
Следует установить модуль Digest::SHA.
Данное обновление исправляет файл spec пакета perl так, что включает пакет Perl-Digest-SHA, и сообщение больше не выдается. (BZ#640716)
* При использовании модуля "threads" создание и удаление потоков может вызвать повышенное потребление памяти программой Perl. Данное обновление исправляет исходный код,чтобы скорректировать освобождение выделенной памяти при уничтожении потока, и далее при создании и удалении потоков в программах Perl утечка памяти не происходит. (BZ#640720)
* Из-за ошибки пакет perl не включает модуль "NDBM_File". Данное исправление корректирует эту ошибку, и "NDBM_File" включается в пакет. (BZ#640729)
* До этого обновления на странице помощи prove(1) и команды "prove --help" опция "--fork" указана как действующая опция командной строки. В версии 3.17 удалена поддержка параллельного тестирования на основе fork и утилита prove, поэтому эта опция больше не поддерживается. Данное обновление исправляет и страницу помощи, и выходные данные команды "prove --help", опция "--fork" больше не включается в список доступных опций командной строки. (BZ#609492)
Пользователям Perl, особенно пользователям модуля threads рекомендуется обновить свое программное обеспечение.

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
https://rhn.redhat.com/errata/RHSA-2011-0558.html

CVE (CVE-2010-2761): https://www.redhat.com/security/data/cve/CVE-2010-2761.html
CVE (CVE-2010-4410): https://www.redhat.com/security/data/cve/CVE-2010-4410.html
CVE (CVE-2011-1487): https://www.redhat.com/security/data/cve/CVE-2011-1487.html
BUGZILLA (609492): http://bugzilla.redhat.com/609492
BUGZILLA (626330): http://bugzilla.redhat.com/626330
BUGZILLA (640716): http://bugzilla.redhat.com/640716
BUGZILLA (640720): http://bugzilla.redhat.com/640720
BUGZILLA (640729): http://bugzilla.redhat.com/640729
BUGZILLA (658976): http://bugzilla.redhat.com/658976
BUGZILLA (692898): http://bugzilla.redhat.com/692898

Источник: CVE
Наименование: CVE-2010-2761
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-2761

Источник: CVE
Наименование: CVE-2010-4410
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-4410

Источник: CVE
Наименование: CVE-2011-1487
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-1487