CVE-2026-18536 in Data::Entropy
Zusammenfassung
von VulDB • 01.08.2026
Data::Entropy nelle versioni precedenti alla 0.010 per Perl legge le fonti di entropia remote tramite HTTP in chiaro.
Le fonti remote Data::Entropy::RawSource::RandomOrg e Data::Entropy::RawSource::RandomnumbersInfo vengono accessate tramite HTTP in chiaro.
Il controllo dell'integrità di Data::Entropy::RawSource::RandomOrg corrisponde trivialmente a qualsiasi stringa di byte non vuota.
Qualsiasi attaccante on-path, come una rete WiFi aperta, un ISP compromesso, un captive portal o un proxy egress ostile, sostituisce la risposta e sceglie quindi i byte restituiti da rand_bits e rand_int per ogni applicazione che ha selezionato una di queste fonti tramite with_entropy_source. La risposta del metodo _checkbuf è ugualmente controllata dall'attaccante, pertanto anche il comportamento di retry/sleep può essere indirizzato.
If you want to get best quality of vulnerability data, you may have to visit VulDB.