Perl: Mehrere Schwachstellen ermöglichen Codeausführung
WID-SEC-2023-3007 · première publication 27.11.2023 · mise à jour 17.09.2026 · CVSS 8,8
De quoi il s’agit
Perl ist eine freie, plattformunabhängige und interpretierte Programmiersprache (Skriptsprache). Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Perl ausnutzen, um beliebigen Programmcode auszuführen.
Dans quelles conditions ?
Par le réseau et sans authentification. C’est la combinaison la plus dangereuse : les attaquants peuvent rechercher automatiquement les appareils accessibles.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- beliebigen Programmcode auszuführen
Suis-je concerné ?
Concernés selon le BSI :
- IBM AIX 7.3
- IBM VIOS 4.1
- Red Hat Enterprise Linux
- Fedora Linux
- Ubuntu Linux
- Oracle Linux
- Gentoo Linux
- OpenBSD OpenBSD 7.3
- OpenBSD OpenBSD 7.4
- Open Source Perl <5.34.2
- Open Source Perl <5.36.2
- Open Source Perl <5.38.1
et 3 autres
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- Open Source Perl 5.34.2
- Open Source Perl 5.36.2
- Open Source Perl 5.38.1
- IGEL OS 11.09.160
La faille est-elle déjà exploitée ?
Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.
Informations et sources
- Avis original du BSI (WID)
- InfoTech & InfoSec News vom 2023-11-26 meterpreter.org
- Perl Documentation vom 2023-11-26 perldoc.perl.org
- Ubuntu Security Notice USN-6517-1 vom 2023-11-27 ubuntu.com
- OpenBSD Errata www.openbsd.org
- OpenBSD Errata www.openbsd.org
- Fedora Security Advisory FEDORA-2023-9EF8A60A05 vom 2023-11-30 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-2023-C67F4DBF13 vom 2023-11-30 bodhi.fedoraproject.org
- IGEL Security Notice ISN-2023-34 vom 2023-12-19 kb.igel.com
- IBM Security Bulletin 7122628 vom 2024-02-22 www.ibm.com
- Red Hat Security Advisory RHSA-2024:3128 vom 2024-05-22 access.redhat.com
- Oracle Linux Security Advisory ELSA-2024-3128 vom 2024-05-28 linux.oracle.com
- Gentoo Linux Security Advisory GLSA-202411-09 vom 2024-11-17 security.gentoo.org
- Oracle Linux Security Advisory ELSA-2026-8096 vom 2026-04-19 linux.oracle.com
- IBM Security Bulletin 7270407 vom 2026-04-22 www.ibm.com
- IBM Security Bulletin 7273312 vom 2026-05-18 www.ibm.com
- Oracle Linux Security Advisory ELSA-2026-67278 vom 2026-09-16 linux.oracle.com
CVE: CVE-2023-47038, CVE-2023-47039
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.