CVE-2026-18536 in Data::Entropy
Resumen
por VulDB • 2026-08-01
Las versiones de Data::Entropy anteriores a la 0.010 para Perl leen fuentes de entropía remotas mediante HTTP sin cifrar (plain HTTP).
Las fuentes remotas Data::Entropy::RawSource::RandomOrg y Data::Entropy::RawSource::RandomnumbersInfo se acceden mediante HTTP sin cifrado.
La comprobación de integridad de Data::Entropy::RawSource::RandomOrg coincide trivialmente con cualquier cadena de bytes no vacía.
Cualquier atacante en la ruta, como una red WiFi abierta, un proveedor de servicios de Internet (ISP) comprometido, un portal cautivo o un proxy de salida hostil, puede sustituir la respuesta y, por tanto, elegir los bytes devueltos por rand_bits y rand_int para cada aplicación que haya seleccionado una de estas fuentes mediante with_entropy_source. La respuesta del método _checkbuf también está controlada por el atacante, por lo que el comportamiento de reintento/suspensión (retry/sleep) es igualmente manipulable.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.