CVE-2019-25777
Açıklama
Perl için 1.27_001 öncesindeki YAML sürümleri, yüklenen bir perl/glob belgesinin herhangi bir paket değişkenini değiştirmesine izin verir ve bu durum rastgele kod çalıştırılmasına yol açabilir. Bir perl/glob belgesi bir paket ve bir sembol adlandırır ve ona atanan değeri sağlar. İsimlendirme üzerinde herhangi bir kısıtlama yoktur, dolayısıyla hedef @INC veya YAML'ın kendi yükleme seçenekleri olabilir. $YAML::LoadCode veya $YAML::UseCode değerini ayarlayan bir perl/glob belgesi, varsayılan olarak kapalı olan kod yükleme özelliğini süreçteki her sonraki Load() işlemi için etkinleştirir. Ardından bir perl/code belgesi dize eval işlemine aktarılır; böylece tek bir süreçte ayrı Load() çağrılarına iki belge sağlayan bir saldırgan, rastgele Perl kodu çalıştırabilir.
Nasıl düzeltilir
- YAML1.27_001 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| YAML | v < 1.27_001 | 1.27_001 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.