CVE-2026-9638
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wersje Crypt::PBKDF2 przed 0.261630 dla Perla generują niebezpieczne wartości losowe dla soli. Używają one wbudowanej funkcji rand, która jest przewidywalna i nieodpowiednia do zastosowań kryptograficznych.
Ocena ryzyka
Użycie przewidywalnych soli może prowadzić do łatwiejszego łamania haseł, co stwarza poważne zagrożenie dla bezpieczeństwa danych użytkowników.
Rekomendacja
Zaleca się aktualizację do wersji 0.261630 lub nowszej, aby zapewnić bezpieczne generowanie soli.
Inne podatności w Crypt::PBKDF2
Zobacz wszystkie- CVE-2017-20240Średnie
Wersje Crypt::PBKDF2 przed 0.261630 dla Perla są podatne na ataki czasowe. Użycie wbudowanego porównania eq w Perlu może prowadzić do ujawnienia klucza pochodnego poprzez analizę różnic w czasie wykonania.
- CVE-2026-9641Średnie
Wersje Crypt::PBKDF2 przed 0.261630 dla Perla mają słaby domyślny algorytm oraz liczbę iteracji. Domyślnym algorytmem jest HMAC-SHA1, który powinien być używany tylko w systemach dziedziczonych.
Oryginalny opis (angielski, źródło NVD)
Crypt::PBKDF2 versions before 0.261630 for Perl generate insecure random values for salts. These versions use the built-in rand function, which is predictable and unsuitable for cryptography.