| Title | PerlDancerのDancer::Session::Abstractにおける複数の脆弱性 |
|---|---|
| Summary | Dancer::Session::Abstractのバージョン1.3522までのPerlは、セッションIDを安全でない方法で生成します。セッションIDは、絶対パス名の文字コードの合計とプロセスID、エポック時間、組み込みのrand()関数の呼び出し（0から9990億までの数値を返します）を足し合わせ、その結果を3回連結して生成されます。パス名は攻撃者によって知られるか推測される可能性があり、特に標準インストール場所でDancerを使用して書かれたアプリケーションで顕著です。エポック時間も攻撃者によって推測される可能性があり、HTTPヘッダーで漏洩することがあります。プロセスIDは限られた数値の範囲から来ており、ワーカーは連続したプロセスIDを持つことがあります。組み込みのrand()関数は32ビットでシードされており、セキュリティ用途には不適切であるとされています。予測可能なセッションIDは攻撃者にシステムへのアクセスを許す可能性があります。 |
| Possible impacts | 当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | April 30, 2026, midnight |
| Registration Date | May 7, 2026, 11:29 a.m. |
| Last Update | May 7, 2026, 11:29 a.m. |
| CVSS3.0 : 警告 | |
| Score | 5.9 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H |
| PerlDancer |
| Dancer::Session::Abstract 1.3522 およびそれ以前 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年05月07日] 掲載 |
May 7, 2026, 11:29 a.m. |
| Summary | Dancer::Session::Abstract versions through 1.3522 for Perl generates session ids insecurely. The session id is generated from summing the character codepoints of the absolute pathname with the process id, the epoch time and calls to the built-in rand() function to return a number between 0 and 999-billion, and concatenating that result three times. The path name might be known or guessed by an attacker, especially for applications known to be written using Dancer with standard installation locations. The epoch time can be guessed by an attacker, and may be leaked in the HTTP header. The process id comes from a small set of numbers, and workers may have sequential process ids. The built-in rand() function is seeded with 32-bits and is considered unsuitable for security applications. Predictable session ids could allow an attacker to gain access to systems. |
|---|---|
| Publication Date | April 30, 2026, 9:16 p.m. |
| Registration Date | May 1, 2026, 4:07 a.m. |
| Last Update | May 5, 2026, 11:54 a.m. |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:perldancer:dancer\:\:session\:\:abstract:*:*:*:*:*:perl:*:* | 1.3522 | ||||