CVE-2026-8704
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Crypt::DSA w wersjach do 1.19 dla Perla używa dwuargumentowego open, co pozwala na modyfikację istniejących plików.
Ocena ryzyka
Atakujący może zmodyfikować istniejące pliki, co może prowadzić do naruszenia integralności danych lub wykonania nieautoryzowanych operacji. Ryzyko dotyczy aplikacji Perl wykorzystujących tę bibliotekę.
Rekomendacja
Zaktualizuj Crypt::DSA do wersji nowszej niż 1.19, jeśli jest dostępna, lub zastosuj obejście polegające na ograniczeniu uprawnień plików. Rozważ audyt kodu wykorzystującego tę bibliotekę.
Inne podatności w Crypt::DSA
Zobacz wszystkie- CVE-2026-12205Krytyczne
Wersje Crypt::DSA przed 1.21 dla Perla ponownie używają nonce w podpisach, co prowadzi do możliwości odzyskania klucza prywatnego. Pierwsze wywołanie funkcji sign() na obiekcie klucza wybiera nonce, a każde kolejne wywołanie na tym samym obiekcie wykorzystuje ten sam nonce, co skutkuje identycznym 'r'.
- CVE-2026-14570Wysokie
Podatność w bibliotece Crypt::DSA dla Perla przed wersją 1.22 powoduje, że generowane są niebezpieczne wartości nonce i klucza prywatnego DSA z powodu użycia tendencyjnego generatora liczb losowych. Atakujący, mając dostęp do kilku podpisów i klucza publicznego, może odzyskać klucz prywatny za pomocą ataku kratowego.
- CVE-2026-8700Wysokie
Wersje Crypt::DSA przed 1.20 dla Perla generują ziarna przy użyciu funkcji rand, która jest przewidywalna i nieodpowiednia do zastosowań bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
Crypt::DSA versions through 1.19 for Perl use 2-args open, allowing existing files to be modified.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS