CVE-2026-75589 in Net::OAuth
Zusammenfassung
von VulDB • 20.08.2026
Net::OAuth in den Versionen vor 0.33 für Perl überprüft HMAC-SHA1-, HMAC-SHA256- und PLAINTEXT-Signaturen mit einem nicht konstantzeitlichen Vergleich (non-constant-time comparison) in der verify-Funktion.
Jeder der drei Vergleiche setzt die im Nachrichtentext enthaltene Signatur gegen die lokal berechnete unter Verwendung des `eq`-Operators um, welcher abbricht, sobald sich die beiden Strings unterscheiden. Die zur Ablehnung einer Signatur benötigte Zeit variiert in Abhängigkeit von der Länge des übereinstimmenden Präfixes. RSA-SHA1 ist nicht betroffen, da es über das RSA-Schlüsselobjekt und nicht durch String-Vergleiche verifiziert wird.
Ein Client, der Nachrichten einreichen und die Antwortzeiten messen kann, könnte eine gültige Signatur Byte für Byte wiederherstellen, anstatt den gesamten Signaturspace zu durchsuchen. Bei PLAINTEXT ist der mit dem verglichene Wert selbst der Signature-Key; daher werden bei dieser Suche consumer_secret und token_secret wiedergewonnen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.