CVE-2025-40910
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece Net::IP::LPM w wersji 1.10 dla Perla nieprawidłowo obsługuje wiodące zera w adresach IP CIDR, co może umożliwić atakującym ominięcie kontroli dostępu opartej na adresach IP. Wiodące zera są interpretowane jako notacja ósemkowa, co może wprowadzać w błąd użytkowników.
Ocena ryzyka
Organizacja może być narażona na ominięcie mechanizmów kontroli dostępu, jeśli systemy opierają się na porównywaniu adresów IP z listami dozwolonych/zablokowanych adresów, a atakujący użyje adresu z wiodącymi zerami.
Rekomendacja
Należy zaktualizować bibliotekę Net::IP::LPM do najnowszej wersji, która poprawnie obsługuje wiodące zera, lub zastosować dodatkową walidację adresów IP przed ich przetwarzaniem.
Inne podatności w Net::IP::LPM
Zobacz wszystkie- CVE-2026-86287Nieznane
Podatność w module Net::IP::LPM dla języka Perl przed wersją 1.12 pozwala na akceptowanie nieprawidłowych długości prefiksów. Niepoprawne wartości są traktowane jako 0 lub obcinane, co prowadzi do zatrucia tablicy wyszukiwania i powoduje, że wyszukiwanie zawsze kończy się sukcesem, przez co lista dozwolonych przepuszcza wszystkie adresy, a lista blokad blokuje wszystkie adresy.
- CVE-2026-56015Krytyczne
Podatność w module Net::IP::LPM dla Perla przed wersją 1.11 pozwala na odczyt poza stertą przez nieograniczoną długość prefiksu. Funkcja add() przekazuje prefiks do budowy drzewa bez sprawdzenia go względem szerokości adresu, co prowadzi do odczytu poza buforem adresu. Problem jest wykrywalny przez narzędzia takie jak AddressSanitizer, valgrind lub wzmocniony alokator.
Oryginalny opis (angielski, źródło NVD)
Net::IP::LPM version 1.10 for Perl does not properly consider leading zero characters in IP CIDR address strings, which could allow attackers to bypass access control that is based on IP addresses. Leading zeros are used to indicate octal numbers, which can confuse users who are intentionally using octal notation, as well as users who believe they are using decimal notation.