CVE-2026-75589 in Net::OAuth
الملخص
بحسب VulDB • 19/08/2026
تتحقق إصدارات Net::OAuth السابقة للإصدار 0.33 لنظام Perl من توقيعات HMAC-SHA1 وHMAC-SHA256 وPLAINTEXT باستخدام مقارنة غير ثابتة الزمن (non-constant-time comparison) في دالة verify.
يقوم كلٌّ من المقارنات الثلاث بمقارنة التوقيع الموجود داخل الرسالة مع التوقيع المحسوب محلياً باستخدام المشغل eq، الذي يعود بالنتيجة فور اكتشاف أي اختلاف بين السلسلتين. ويتفاوت الوقت المستغرق لرفض التوقيع بناءً على طول البادئة المتطابقة (matching prefix). ولا يتأثر RSA-SHA1 بذلك، لأنه يتم التحقق منه عبر كائن مفتاح RSA بدلاً من مقارنة النصوص النصية.
قد يتمكن عميل قادر على إرسال رسائل وقياس زمن الاستجابات من استعادة توقيع صالح بايتاً تلو الآخر، بدلاً من البحث في كامل فضاء التوقيعات. وفي حالة PLAINTEXT، تكون القيمة التي تتم مقارنتها هي مفتاح التوقيع نفسه (signature key)، وبالتالي فإن عملية الاسترداد تؤدي إلى كشف consumer_secret وtoken_secret.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.