概要
Perl モジュール Config::IniFiles のバージョン 3.001000 未満において、-file 引数の処理に脆弱性が確認されました。
Config::IniFiles の内部関数 _make_filehandle は、ファイル名引数を Perl の2引数 open() で開きます。この形式では、ファイル名の先頭または末尾にパイプ（| cmd、cmd |）、またはリダイレクト（> path、>> path）が含まれている場合、Perl はそれをファイルとして開かずにコマンドとして実行または書き込み先として処理します。
この _make_filehandle は new(-file => $thing) の ReadConfig 処理から到達できるため、-file 引数に信頼できない入力を渡すアプリケーションでは OS コマンドインジェクションまたは任意ファイルの上書きが発生します。
なお、インメモリスカラー参照（-file => \$text）はパスを開かないため影響を受けません。
CVSSベクトル
| 指標 | 値 |
|---|---|
| 攻撃ベクトル（AV） | ネットワーク (N) |
| 攻撃複雑度（AC） | 低 (L) |
| 必要権限（PR） | 不要 (N) |
| ユーザー操作（UI） | 不要 (N) |
| スコープ（S） | 変更あり (C) |
| 機密性（C） | 高 (H) |
| 完全性（I） | 高 (H) |
| 可用性（A） | 低 (L) |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| Config::IniFiles | Shlomi Fish (CPAN) | 3.001000 未満 |
修正バージョンと回避策
修正バージョン: Config::IniFiles 3.001000
推奨対応:
- CPAN / cpanm で Config::IniFiles を 3.001000 以降へ更新する
- Debian LTS 向けパッチも提供されています
-file引数に外部入力を渡す場合は、パイプやリダイレクト文字を含まないか検証するか、スカラー参照（\$text）を使用する
関連リンク
データソース: NVD (NIST)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。