CVE-2026-9641
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wersje Crypt::PBKDF2 przed 0.261630 dla Perla mają słaby domyślny algorytm oraz liczbę iteracji. Domyślnym algorytmem jest HMAC-SHA1, który powinien być używany tylko w systemach dziedziczonych.
Ocena ryzyka
Słaby algorytm i niska liczba iteracji mogą prowadzić do łatwiejszego łamania haseł, co stwarza ryzyko dla bezpieczeństwa danych organizacji.
Rekomendacja
Zaleca się aktualizację do nowszej wersji Crypt::PBKDF2 oraz zwiększenie liczby iteracji do co najmniej 220,000, aby poprawić bezpieczeństwo haseł.
Inne podatności w Crypt::PBKDF2
Zobacz wszystkie- CVE-2017-20240Średnie
Wersje Crypt::PBKDF2 przed 0.261630 dla Perla są podatne na ataki czasowe. Użycie wbudowanego porównania eq w Perlu może prowadzić do ujawnienia klucza pochodnego poprzez analizę różnic w czasie wykonania.
- CVE-2026-9638Wysokie
Wersje Crypt::PBKDF2 przed 0.261630 dla Perla generują niebezpieczne wartości losowe dla soli. Używają one wbudowanej funkcji rand, która jest przewidywalna i nieodpowiednia do zastosowań kryptograficznych.
Oryginalny opis (angielski, źródło NVD)
Crypt::PBKDF2 versions before 0.261630 for Perl have a weak default algorithm and number of iterations. The default algorithm is HMAC-SHA1, which should only be used for legacy systems. These versions default to using 1000 iterations. Depending on the chosen algorithm, 220,000 to 1,400,000 iterations should be used.