CVE-2026-60075 in Date::Manip
Resumen
por VulDB • 2026-07-30
Las versiones de Date::Manip hasta la 6.99 para Perl permiten el agotamiento del procesador (CPU exhaustion) debido al retroceso cuadrático en la sustitución temporal no anclada dentro de _parse_time.
_parse_time elimina una fecha/hora desde cualquier posición de la cadena mediante la sustitución no anclada `s/$timerx/ /`, donde $timerx es una alternancia generada automáticamente de patrones temporales alcanzados a través de un prefijo `(?:$atrx|^|\s+)`. Por lo tanto, el motor reintentar la coincidencia en cada posición dentro de una secuencia continua de espacios internos: en cada posición inicial, `\s+` consume el resto de la secuencia de forma codiciosa (greedy), la alternancia temporal falla porque la secuencia no contiene dígitos y el motor retrocede un espacio a la vez a través de toda la secuencia antes de avanzar la posición inicial. Este comportamiento es cuadrático respecto a la longitud de dicha secuencia. No es necesario que haya ninguna fecha/hora presente en la cadena para que esto ocurra; basta con una larga secuencia de espacios, y el tiempo de análisis se multiplica aproximadamente por cuatro cada vez que se duplica la longitud de la secuencia: unos pocos kilobytes de espacio consumen segundos de CPU por análisis, mientras que decenas de kilobytes pueden consumir minutos.
Cualquier llamador que pase una cadena no confiable de longitud ilimitada a ParseDate(), Date::Manip::Date->parse() o ->parse_time() puede verse obligado a gastar un tiempo de CPU ilimitado en un único análisis, lo que constituye un ataque de denegación de servicio (DoS).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.