GLSA 201310-01: Perl Module-Signature module: Arbitrary code execution

http://security.gentoo.org/

Опасность:	средняя
Заголовок:	Perl Module-Signature module: Arbitrary code execution
Дата:	04.10.2013
Ошибки:	#472428
ID:	201310-01

Сводка

The Module-Signature module for Perl has insufficient path checks, allowing a remote attacker to execute arbitrary Perl code.

Назначение

The Perl Module::Signature module adds signing capabilities to CPAN modules.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
dev-perl/Module-Signature	< 0.720.0	>= 0.720.0	All supported architectures

Описание

The ‘cpansign verify’ command will automatically download keys and use them to check the signature of CPAN packages via the SIGNATURE file. If an attacker were to replace this (SHA1) with a special unknown cipher (e.g. ‘Special’) and were to include in the distribution a ‘Digest/Special.pm’, the code in this Perl module would be executed when ‘cpansign -verify’ is run.

Воздействие

A remote attacker could possibly execute arbitrary code with the privileges of the process.

Обход

There is no known workaround at this time.

Решение

All users of the Module-Signature Perl module should upgrade to the latest version:

      # emerge --sync
      # emerge --ask --oneshot --verbose
      ">=dev-perl/Module-Signature-0.720.0"

Ссылки

CVE-2013-2145

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-201310-01.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.