CVE-2026-49942
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Biblioteka Net::CIDR::Set dla Perla w wersjach do 0.20 nie waliduje poprawnie masek sieciowych. Znaki Unicode, takie jak cyfry arabsko-indyjskie, lub znaki niebędące cyframi w masce są ignorowane, co może pozwolić na akceptowanie większych sieci niż zamierzono. Ponadto wiodące zera są akceptowane, ale traktowane jako dziesiętne zamiast ósemkowych, co może prowadzić do nieporozumień co do akceptowalnych sieci.
Ocena ryzyka
Nieprawidłowa walidacja masek sieciowych może umożliwić atakującemu dostęp do szerszych zakresów adresów IP niż zamierzono, co może prowadzić do nieautoryzowanego dostępu do sieci.
Rekomendacja
Zaleca się aktualizację biblioteki Net::CIDR::Set do najnowszej dostępnej wersji, która zawiera poprawki walidacji masek.
Inne podatności w Net::CIDR::Set
Zobacz wszystkie- CVE-2026-19566Wysokie
Net::CIDR::Set przed wersją 0.23 dla Perla pozwala na wyczerpanie pamięci i nieprawidłowe zakresy zestawów przez nieograniczone długości prefiksów IPv6. Funkcja _encode akceptuje dowolną długość prefiksu, co prowadzi do alokacji ogromnych ciągów i tablic, a także do błędów w dopasowywaniu zakresów.
- CVE-2026-49941Wysokie
Podatność w bibliotece Net::CIDR::Set dla Perla (wersje do 0.20) polegająca na braku walidacji adresów IP. Metoda add wywołuje _encode, która dla nieprawidłowych adresów prowadzi do nieskończonej rekurencji, powodując odmowę usługi.
- CVE-2026-49940Średnie
Biblioteka Net::CIDR::Set dla Perla w wersjach do 0.20 akceptuje nie-ASCII adresy IP i maski sieciowe. Cyfry Unicode, takie jak arabsko-indyjska jedynka (U+0661), były akceptowane, ale nieprawidłowo parsowane jako liczby, co mogło pozwolić maskom sieciowym na akceptowanie większych sieci.
Oryginalny opis (angielski, źródło NVD)
Net::CIDR::Set versions through 0.20 for Perl did not validate network masks. The mask portion of a network mask could contain Unicode digits such as the Arabic-Indic One (U+0661), or non-digits, which were ignored. This could allow network masks to accept larger networks. Leading zeros were also accepted, but treated as decimal instead of octal. This could lead to confusion about what networks are acceptable.