CVE-2026-8700
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Wersje Crypt::DSA przed 1.20 dla Perla generują ziarna przy użyciu funkcji rand, która jest przewidywalna i nieodpowiednia do zastosowań bezpieczeństwa.
Ocena ryzyka
Użycie przewidywalnych ziaren może prowadzić do osłabienia bezpieczeństwa kryptograficznego, co naraża organizację na ataki.
Rekomendacja
Zaleca się aktualizację do wersji Crypt::DSA 1.20 lub nowszej, aby zapewnić odpowiednie generowanie ziaren.
Inne podatności w Crypt::DSA
Zobacz wszystkie- CVE-2026-12205Krytyczne
Wersje Crypt::DSA przed 1.21 dla Perla ponownie używają nonce w podpisach, co prowadzi do możliwości odzyskania klucza prywatnego. Pierwsze wywołanie funkcji sign() na obiekcie klucza wybiera nonce, a każde kolejne wywołanie na tym samym obiekcie wykorzystuje ten sam nonce, co skutkuje identycznym 'r'.
- CVE-2026-14570Wysokie
Podatność w bibliotece Crypt::DSA dla Perla przed wersją 1.22 powoduje, że generowane są niebezpieczne wartości nonce i klucza prywatnego DSA z powodu użycia tendencyjnego generatora liczb losowych. Atakujący, mając dostęp do kilku podpisów i klucza publicznego, może odzyskać klucz prywatny za pomocą ataku kratowego.
- CVE-2026-8704Średnie
Crypt::DSA w wersjach do 1.19 dla Perla używa dwuargumentowego open, co pozwala na modyfikację istniejących plików.
Oryginalny opis (angielski, źródło NVD)
Crypt::DSA versions before 1.20 for Perl generate seeds using rand. Seeds were generated using Perl's built-in rand function, which is predictable and unsuitable for security usage.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS