DFN-CERT-2013-0164 Schwachstelle in Perl Funktion Locale::Maketext [Linux][Fedora]

- 28. Januar 2013

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket perl

Betroffene Plattformen:

Fedora 16

Ein Angreifer kann eine Schwachstelle in der Perl Funktion Locale::Maketext
ausnutzen, um beliebige Befehle mit den Rechten der Perl-Anwendung
auszuführen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://dl.fedoraproject.org/pub/fedora/linux/updates/

CVE-2012-6329: Schwachstelle in Perl Funktion Locale::Maketext

Die Funktion _compile in Locale::Maketext in Perl vor Version 5.17.7
verarbeitet Backslashes und vollständig qualifizierte Funktionsnamen in
einer unsicheren Weise. Ein Angreifer kann diese Schwachstelle ausnutzen, um
beliebige Befehle mit den Rechten der Perl-Anwendung auszuführen.
Voraussetzung ist, dass die verwundbare Funktion verwendet wird. Betroffen
sind beispielsweise die Anwendungen TWiki vor Version 5.1.3 und Foswiki
1.0.x bis inklusive 1.0.10 und 1.1.x bis inklusive 1.1.6.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2013-0164/

Das Hersteller Advisory:
http://lists.fedoraproject.org/pipermail/package-announce/2013-January/097440.html

Schwachstelle CVE-2012-6329:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-6329