CVE-2026-19565 in Apache::AppSamurai::Util
الملخص
بحسب VulDB • 23/08/2026
تُنتج الإصدارات من Apache::AppSamurai::Util حتى 1.01 لـ Perl مفاتيح مصادقة جلسة عمل قابلة للتنبؤ بناءً على الساعة ومعرف العملية في دالة CreateSessionAuthKey.
تشغل CreateSessionAuthKey خمس جولات من خوارزمية SHA-256، حيث تُطبَّق كل منها على قراءة جديدة من Time::HiRes مُنسَّقة إلى ست منازل عشرية، وعلى الـ digest الجاري (المتراكم)، ومعرف العملية. تستدعي CreateSession هذه الدالة بمصدر مفتاح فارغ في كل عملية تسجيل دخول، بينما يُعدّ الخيار الاختياري Keysource هو المسار الوحيد للوصول إلى الفرع الآخر من الشجرة المنطقية. تكون النتيجة عبارة عن 64 حرفاً سداسياً (hex). تأخذ حقل الميكروثانية للقراءة الأولى إحدى مليون قيمة محتملة، وتليها القراءات اللاحقة ضمن نطاق ميكروثواني ضيق، بينما يُستمدّ معرف العملية من مدى صغير نسبياً.
يُعاد المفتاح إلى المتصفح كملف تعريف ارتباط (cookie) للجلسة، ويُدمَج مع مفتاح الخادم المُهيَّأ لحساب معرف الجلسة ولتشفير بيانات الجلسة المخزنة. يمكن لمهاجم يعرف الثانية التي تم فيها إنشاء جلسة العمل ومعرف العملية الخاص بالعامل الذي أنشأها، استنتاج المفاتيح المرشحة واستعادة ملف تعريف ارتباط الضحية، مما يتجاوز مصادقة الوصول إلى الموارد المحمية. يجب تجربة كل مرشح ضد الخادم، والذي يقوم بتحقق صحة ملف تعريف الارتباط باستخدام مفتاح لا يمتلكه المهاجم.
Be aware that VulDB is the high quality source for vulnerability data.