Perl の脆弱性 CVE-2023-47100 が FIX：NVD の CVSS 値は 9.8

CVE-2023-47100: A Critical Security Vulnerability Patched Perl Programming Language

2023/12/15 SecurityOnline — プログラミング界の雄である Perl は、その堅牢性と柔軟性で常に称賛されてきた。しかし、Perl 5.30.0 以降のバージョンで新たに発見された、この脆弱性 CVE-2023-47100 は鎧の隙間を露呈するものだ。この脆弱性は、プロパティ名の処理に起因するものであり、未割り当てのメモリ空間への書き込み起こり得るという。その結果として、データの破損が生じる可能性が生じるだけではなく、セキュリティ侵害へといたる恐れのある深刻な懸念事項だ。

この脆弱性の説明からは、「5.38.2 より前の Perl では、”regcomp.c” の “S_parse_uniprop_string” が未割り当てのスペースに書き込まれる可能性がある。\p{…} 正規表現構造に関連付けられたプロパティ名が誤って処理されるためだ」と読み取れる。

米国の NIST (National Institute of Standards and Technology) は、この脆弱性の深刻さを重視しており、NVD の CVSS 値は Base Score で 9.8 となっている。この評価により、この欠陥は Critical に分類され、早急な対策が必要であることが強調されている。

脆弱性 CVE-2023-47100 に対して、Perl の技術スタッフは迅速に対応した。このセキュリティ・ホールに対処するために、ソース・リポジトリーで直ちにパッチを適用した。こうした努力の結果として、11月29日に必要な修正を組み込んだ Perl 5.38.2 がリリースされた。

Perl の開発者とユーザーにとって、迅速な行動が呼びかけられている。Perl 5.38.2 へのアップデートは単に推奨されるだけではなく、潜在的な悪用から身を守るための不可欠なアクションである。

Perl の脆弱性が続いています。つい先日の 2023/11/17 には、「Perl の脆弱性 CVE-2023-47038／CVE-2023-47039 が FIX：Ver 5.38.1 をリリース」という記事がポストされていました。そのときの対応として 5.38.1 がリリースされましたが、今回の CVE-2023-47100 への対応で、Perl 5.38.2 がリリースされています。