CVE-2026-6656

WysokieCVSS 7.5

Opublikowano: 20/07/2026(UTC)Zaktualizowano: 20/07/2026(UTC)Przetłumaczono: 21/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Podatność w bibliotece Crypt::Password dla Perla (wersje do 0.28) umożliwia ataki timingowe. Metoda check_password używa operatora eq, co pozwala na odgadnięcie hasła na podstawie różnic w czasie odpowiedzi.

Ocena ryzyka

Atakujący może zdalnie odczytać hash hasła, mierząc czas odpowiedzi serwera, co prowadzi do naruszenia poufności danych uwierzytelniających.

Rekomendacja

Należy zaktualizować bibliotekę Crypt::Password do wersji 0.29 lub nowszej, która zawiera poprawkę zabezpieczającą przed atakami timingowymi.

Inne podatności w Crypt::Password

CVE-2026-16235Krytyczne
Podatność w bibliotece Crypt::Password dla Perla do wersji 0.28 włącznie powoduje generowanie niebezpiecznych, przewidywalnych wartości soli (salt) przy użyciu wbudowanej funkcji rand, która nie nadaje się do zastosowań kryptograficznych.

Oryginalny opis (angielski, źródło NVD)

Crypt::Password versions through 0.28 for Perl are susceptible to timing attacks. The check_password method uses the built-in eq operator. This allows discrepancies in timing to be used to guess the underlying hash.