远程 Solaris 系统缺少用于处理安全更新的必要修补程序：

  - 5.12.5 之前的 Perl 5.12.x 版本、5.14.3 之前的 5.14.x 版本以及 15.15.5 之前的 5.15.x 版本的 util.c 中的 Perl_repeatcpy 函数中存在基于堆的缓冲区溢出，允许上下文有关的攻击者通过“x”字符串重复运算符造成拒绝服务（内存消耗和崩溃）或执行任意代码。
    (CVE-2012-5195)

在 Perl 编程语言的实现中发现两个漏洞：

- CVE-2012-5195 如果创建了很长的字符串，“x”运算符可导致 Perl 解释器崩溃。

- CVE-2012-5526 CGI 模块不会正确转义 Set-Cookie 和 P3P 标头中的 LF 字符。

此外，此更新添加对 Storable 文档的警告，表明此程序包不适合用于反序列化不可信的数据。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 5.12.5 之前的 Perl 5.12.x 版本、5.14.3 之前的 5.14.x 版本以及 15.15.5 之前的 5.15.x 版本的 util.c 中的 Perl_repeatcpy 函数中存在基于堆的缓冲区溢出，允许上下文有关的攻击者通过“x”字符串重复运算符造成拒绝服务（内存消耗和崩溃）或执行任意代码。
    (CVE-2012-5195)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

更新后的 perl 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 5 和 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Perl 是一种通常用于系统管理实用工具和 Web 编程的高级编程语言。

发现 Perl 中存在堆溢出缺陷。如果 Perl 应用程序允许用户输入控制字符串 repeat 运算符的 count 参数，则攻击者可导致该应用程序崩溃，或可能以运行该应用程序的用户的权限执行任意代码。(CVE-2012-5195)

在 Perl 的二度哈希代码实现（负责重新计算哈希密钥和重新分配哈希内容）处理特定输入的方式中发现拒绝服务缺陷。如果攻击者提供特别构建的输入作为 Perl 应用程序的哈希密钥，则可能导致占用过多内存。
(CVE-2013-1667)

已发现用于处理通用网关接口请求和响应的 Perl CGI 模块没有正确审查 Set-Cookie 和 P3P 标头的值。如果使用 CGI 模块的 Perl 应用程序重新使用 Cookie 值并接受来自 Web 浏览器的不受信任的输入，则远程攻击者可利用此缺陷修改 Cookie 的成员项或添加新项。(CVE-2012-5526)

已发现用于本地化 Perl 应用程序的 Perl Locale::Maketext 模块没有正确处理反斜线或完全限定方法名称。攻击者可能会利用此缺陷，通过使用不受信任的 Locale::Maketext 模板的 Perl 应用程序的权限执行任意 Perl 代码。
(CVE-2012-6329)

Red Hat 在此感谢 Perl 项目报告 CVE-2012-5195 和 CVE-2013-1667。上游感谢 Tim Brown 作为 CVE-2012-5195 的原始报告者，以及 Yves Orton 作为 CVE-2013-1667 的原始报告者。

所有 Perl 用户应升级至这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动所有正在运行的 Perl 程序才能使此更新生效。

来自 Red Hat 安全公告 2013:0685：

更新后的 perl 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 5 和 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Perl 是一种通常用于系统管理实用工具和 Web 编程的高级编程语言。

发现 Perl 中存在堆溢出缺陷。如果 Perl 应用程序允许用户输入控制字符串 repeat 运算符的 count 参数，则攻击者可导致该应用程序崩溃，或可能以运行该应用程序的用户的权限执行任意代码。(CVE-2012-5195)

在 Perl 的二度哈希代码实现（负责重新计算哈希密钥和重新分配哈希内容）处理特定输入的方式中发现拒绝服务缺陷。如果攻击者提供特别构建的输入作为 Perl 应用程序的哈希密钥，则可能导致占用过多内存。
(CVE-2013-1667)

已发现用于处理通用网关接口请求和响应的 Perl CGI 模块没有正确审查 Set-Cookie 和 P3P 标头的值。如果使用 CGI 模块的 Perl 应用程序重新使用 Cookie 值并接受来自 Web 浏览器的不受信任的输入，则远程攻击者可利用此缺陷修改 Cookie 的成员项或添加新项。(CVE-2012-5526)

已发现用于本地化 Perl 应用程序的 Perl Locale::Maketext 模块没有正确处理反斜线或完全限定方法名称。攻击者可能会利用此缺陷，通过使用不受信任的 Locale::Maketext 模板的 Perl 应用程序的权限执行任意 Perl 代码。
(CVE-2012-6329)

Red Hat 在此感谢 Perl 项目报告 CVE-2012-5195 和 CVE-2013-1667。上游感谢 Tim Brown 作为 CVE-2012-5195 的原始报告者，以及 Yves Orton 作为 CVE-2013-1667 的原始报告者。

所有 Perl 用户应升级至这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动所有正在运行的 Perl 程序才能使此更新生效。

远程 OracleVM 系统缺少必要修补程序来解决关键安全更新：

- 不延伸 Time::Local::timelocal 中允许的 epoch 值，删除 64 位平台上无用的警告（解决了：rhbz#1149375）

- 修复自定义信号处理程序的 perl 段错误（解决了：
rhbz#991854）

- 重新排序 AnyDBM_File 后端首选项（解决了：
rhbz#1018721）

- 修复 Locale::Maketext 中的反斜线插入（解决了：rhbz#1029016）

- 针对 64 位平台上的 Time::Local 启用 2038 年（解决了：rhbz#1057047）

- 800340 - strftime 内存泄漏 perl 缺陷 (RT#73520)

- 解决了：rhbz#800340

- 修复 CVE-2012-5195 repeatcpy 的堆缓冲区溢出（解决了：rhbz#915691）

- 修复 CVE-2012-5526 Set-Cookie 和 P3P 标头中不当的 CRLF 转义导致的新行注入（解决了：
rhbz#915691）

- 修复 CVE-2012-6329 可能通过 Locale::Maketext 发生的任意代码执行（解决了：rhbz#915691）

- 修复 CVE-2013-1667 重新对代码进行哈希操作时发生的 DoS（解决了：rhbz#915691）

- 848156 - 恢复了 perl-5.8.8-U32019.patch 的代码

- 解决了：rhbz#848156

在 Perl 中發現堆積溢位瑕疵。如果 Perl 應用程式允許使用者輸入以控制字串重複運算子的計數引數，攻擊者可使應用程式損毀，或者可能會以執行應用程式之使用者的權限執行任意程式碼。(CVE-2012-5195)

在 Perl 的重新雜湊程式碼實作 (負責重新計算雜湊金鑰以及重新散佈雜湊內容) 處理特定輸入的方式中發現一個拒絕服務瑕疵。如果攻擊者提供 Perl 應用程式作為雜湊金鑰使用的特製輸入，可造成過度消耗記憶體。
(CVE-2013-1667)

據發現，用於處理 Common Gateway Interface 要求與回應的 Perl CGI 模組會不正確地清理 Set-Cookie 和 P3P 標頭的值。如果使用 CGI 模組的 Perl 應用程式重複使用 Cookie 值，並接受來自網頁瀏覽器之未受信任的輸入，則遠端攻擊者可利用此瑕疵改變 Cookie 的成員項目，或加入新的項目。(CVE-2012-5526)

據發現，用來當地語系化 Perl 應用程式的 Perl Locale::Maketext 模組無法正確處理反斜線或完整方法名稱。攻擊者可能利用此瑕疵，以使用未受信任之 Locale::Maketext 範本的 Perl 應用程式權限執行任意 Perl 程式碼。
(CVE-2012-6329)

必須重新啟動所有執行的 Perl 程式，此更新才會生效。

更新版 perl 套件可修正安全性弱點：

據發現，Perl 的「x」字串重複運算子容易受到堆積型緩衝區溢位攻擊。攻擊者可利用此弱點執行任意程式碼 (CVE-2012-5195)。

在 5.17.7 版之前的 Perl 中，Locale::Maketext 實作之 Maketext.pm 中的 _compile 函式在括弧標記編譯時，並未正確處理反斜線和完整的方法名稱，這會讓內容相依的攻擊者透過允許使用者轉譯字串之應用程式的特製輸入來執行任意命令 (CVE-2012-6329)。

為針對演算法複雜性攻擊的雜湊機制防止該攻擊，Perl 有時將會重新計算金鑰，並轉散佈雜湊的內容。此機制讓 Perl 變得健全，以防範其他系統所證實的攻擊。Yves Orton 的研究最近發現，重新雜湊程式碼中存有一個可導致病態行為的瑕疵。此瑕疵可遭到惡意利用，以針對使用任意使用者輸入作為雜湊金鑰的程式碼，執行拒絕服務攻擊。因為將使用者提供的字串用作雜湊金鑰是相當常見的作業，所以我們鼓勵 perl 使用者盡早更新 perl 可執行檔。
現已將解決此問題的更新升級至 main-5.8、maint-5.10、maint-5.12、maint-5.14 和 maint-5.16 分支。
兩個星期前已向供應商* 通知此問題，且預計今天將更新提供給供應商 (CVE-2013-1667)。

在 Perl 中發現堆積溢位瑕疵。如果 Perl 應用程式允許使用者輸入以控制字串重複運算子的計數引數，攻擊者可使應用程式損毀，或者可能會以執行應用程式之使用者的權限執行任意程式碼。(CVE-2012-5195)

在 Perl 的重新雜湊程式碼實作 (負責重新計算雜湊金鑰以及重新散佈雜湊內容) 處理特定輸入的方式中發現一個拒絕服務瑕疵。如果攻擊者提供 Perl 應用程式作為雜湊金鑰使用的特製輸入，可造成過度消耗記憶體。
(CVE-2013-1667)

據發現，用於處理 Common Gateway Interface 要求與回應的 Perl CGI 模組會不正確地清理 Set-Cookie 和 P3P 標頭的值。如果使用 CGI 模組的 Perl 應用程式重複使用 Cookie 值，並接受來自網頁瀏覽器之未受信任的輸入，則遠端攻擊者可利用此瑕疵改變 Cookie 的成員項目，或加入新的項目。(CVE-2012-5526)

據發現，用來當地語系化 Perl 應用程式的 Perl Locale::Maketext 模組無法正確處理反斜線或完整方法名稱。攻擊者可能利用此瑕疵，以使用未受信任之 Locale::Maketext 範本的 Perl 應用程式權限執行任意 Perl 程式碼。
(CVE-2012-6329)

據發現，Encode 模組中的 decode_xs 函式容易透過特製的 Unicode 字串，受到堆積型緩衝區溢位影響。攻擊者可利用此溢位問題造成拒絕服務。(CVE-2011-2939)

據發現，Digest 模組中的 'new' 建構函式容易受到 eval 插入的影響。攻擊者可利用此弱點執行任意程式碼。(CVE-2011-3597)

據發現，Perl 的「x」字串重複運算子容易受到堆積型緩衝區溢位攻擊。攻擊者可利用此弱點執行任意程式碼。(CVE-2012-5195)

Ryo Anazawa 發現，CGI.pm 模組未正確逸出 Set-Cookie 或 P3P (隱私權喜好設定專案平台) 標頭中的新行。攻擊者可利用這點，將任意標頭從使用 CGI.pm 的應用程式插入回應中。
(CVE-2012-5526)。

ID	Name	Product	Family	Published	Updated	Severity
80734	Oracle Solaris 第三方修补程序更新：perl-58 (cve_2012_5195_buffer_errors)	Nessus	Solaris Local Security Checks	1/19/2015	1/14/2021	high
63270	Debian DSA-2586-1：perl - 多个漏洞	Nessus	Debian Local Security Checks	12/17/2012	1/11/2021	high
217771	Linux Distros 未修补的漏洞: CVE-2012-5195	Nessus	Misc.	3/4/2025	3/4/2025	critical
65694	CentOS 5 / 6：perl (CESA-2013:0685)	Nessus	CentOS Local Security Checks	3/27/2013	1/4/2021	high
68797	Oracle Linux 5 / 6：perl (ELSA-2013-0685)	Nessus	Oracle Linux Local Security Checks	7/12/2013	10/22/2024	critical
91752	OracleVM 3.2：perl (OVMSA-2016-0076)	Nessus	OracleVM Local Security Checks	6/22/2016	1/4/2021	high
65715	Scientific Linux 安全性更新：SL5.x、SL6.x i386/x86_64 上的 perl	Nessus	Scientific Linux Local Security Checks	3/28/2013	1/14/2021	high
66125	Mandriva Linux 安全性公告：perl (MDVSA-2013:113)	Nessus	Mandriva Local Security Checks	4/20/2013	1/6/2021	high
69736	Amazon Linux AMI : perl (ALAS-2013-177)	Nessus	Amazon Linux Local Security Checks	9/4/2013	2/7/2019	high
63109	Ubuntu 8.04 LTS / 10.04 LTS / 11.10 / 12.04 LTS / 12.10：perl 弱點 (USN-1643-1)	Nessus	Ubuntu Local Security Checks	11/30/2012	9/19/2019	high

Detections

Analytics

Plugins Search

high

high

critical

high

critical

high

high

high

high

high