🔴 CVE-2011-10043: Critical Schwachstelle

„`html

Zusammenfassung

Die Perl-Bibliothek Module::Load in Versionen vor 0.22 weist eine kritische Sicherheitslücke auf, die es Angreifern ermöglicht, beliebige Module außerhalb des @INC-Pfades zu laden und willkürlichen Code auszuführen. Die Vulnerability wird mit dem CVSS-Score 9.8 als kritisch eingestuft.

Betroffene Systeme

Betroffen sind alle Systeme, auf denen Perl-Anwendungen mit Module::Load vor Version 0.22 installiert sind. Dazu gehören diverse Linux-Distributionen, Unix-Varianten und Windows-Systeme mit Perl-Runtime. Besonders anfällig sind Server-Umgebungen, die Perl-basierte Webanwendungen oder Script-Verarbeitung durchführen.

Technische Details

Die Schwachstelle liegt in der load()-Funktion von Module::Load. Diese Funktion validiert übergebene Modulnamen unzureichend. Angreifer können Modulnamen konstruieren, die mit „::“ beginnen, um das @INC-Array zu umgehen. Dieses Array definiert normalerweise die zulässigen Verzeichnisse, aus denen Module geladen werden dürfen.

Durch die Manipulation von Modulnamen ist es möglich, Pfade außerhalb der definierten @INC-Directories anzugeben. Sofern ein Angreifer die Kontrolle über Verzeichnisse im Dateisystem hat oder diese beschreibbar sind, können manipulierte Module an beliebigen Orten platziert werden. Diese werden dann von der anfälligen load()-Funktion ausgeführt.

Das Angriffsrisiko ist besonders hoch, wenn Webanwendungen oder API-Endpunkte Benutzereingaben zur Bestimmung zu ladender Module verwenden, ohne diese ausreichend zu validieren.

Empfohlene Massnahmen

• Module::Load auf Version 0.22 oder höher aktualisieren
• Perl-Abhängigkeiten regelmäßig überprüfen und updaten
• Eingabevalidierung für Modulnamen implementieren
• Dateisystem-Berechtigungen überprüfen und restriktiv konfigurieren
• Code-Review für kritische Perl-Anwendungen durchführen

Bewertung

Mit einem CVSS-Score von 9.8 handelt es sich um eine kritische Vulnerability mit hohem Ausnutzungspotenzial. Die Remote-Exploitbarkeit und die Möglichkeit zur Codeausführung erfordern sofortige Patches.

„`