CVE-2026-74846
NieznaneStreszczenie
Wersje Catalyst::Plugin::Authentication dla Perla przed 0.10029 umożliwiają ataki czasowe na przechowywane hasła poprzez porównania eq w starszym weryfikatorze haseł. Przestarzała metoda login porównuje hasła jawnym tekstem, skróty crypt i skróty base64 za pomocą eq, więc czas porównania zależy od liczby pasujących początkowych bajtów.
Ocena ryzyka
Zdalny atakujący może wykorzystać różnice czasu odpowiedzi do odgadnięcia przechowywanego hasła lub skrótu, co może prowadzić do przejęcia konta.
Rekomendacja
Zaktualizuj Catalyst::Plugin::Authentication do wersji 0.10029 lub nowszej. Zmigruj aplikacje z przestarzałej metody login na weryfikator oparty na realmach.
Inne podatności w Catalyst::Plugin::Authentication
Zobacz wszystkie- CVE-2009-10007Krytyczne
Podatność w bibliotece Catalyst::Plugin::Authentication dla Perla przed wersją 0.10_027 umożliwia ataki fiksacji sesji. Biblioteka nie zmienia automatycznie identyfikatora sesji po uwierzytelnieniu, co pozwala atakującemu na przejęcie sesji ofiary.
- CVE-2026-5091Średnie
Catalyst::Plugin::Authentication dla Perla w wersjach do 0.10024 jest podatny na ataki timingowe. Te wersje używają wbudowanego porównania eq w Perlu. Różnice w czasie mogą być wykorzystane do odgadnięcia hasha lub hasła.
Oryginalny opis (angielski, źródło NVD)
Catalyst::Plugin::Authentication versions before 0.10029 for Perl allow timing attacks on stored passwords via eq comparisons in the legacy password verifier. CVE-2026-5091 was fixed in the realm-based verifier. The legacy verifier, used by the deprecated login method, compares clear-text passwords, crypt hashes and base64 digests with eq, so the comparison time depends on how many leading bytes match. A remote attacker can use response-time differences to guess the stored password or hash.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS