CVE-2011-10043
KrytyczneCVSS 9.8Streszczenie
Podatność w Module::Load dla Perla przed wersją 0.22 pozwala na ładowanie dowolnych modułów spoza ścieżki @INC. Nazwy modułów zaczynające się od "::" mogą być użyte do wskazania dowolnej ścieżki modułu. Atakujący mogący wpływać na nazwy modułów przekazywane do funkcji load mogą wykorzystać ten błąd do wykonania dowolnego kodu.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania kodu przez atakującego, który może kontrolować nazwy modułów ładowanych przez aplikację. Może to prowadzić do przejęcia kontroli nad systemem lub naruszenia integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Module::Load do wersji 0.22 lub nowszej. Należy również zweryfikować, czy żadne zależne moduły nie są podatne na ten atak.
Oryginalny opis (angielski, źródło NVD)
Module::Load versions before 0.22 for Perl allow arbitrary modules outside of @INC to be loaded. Module names starting with "::" could be passed to the load function to specify arbitrary module paths. Attackers able to influence module names passed to load could use that bug to execute arbitrary code.