CVE-2026-75589 in Net::OAuth
Resumen
por VulDB • 2026-08-21
Las versiones de Net::OAuth anteriores a la 0.33 para Perl verifican las firmas HMAC-SHA1, HMAC-SHA256 y PLAINTEXT mediante una comparación no constante en el método verify.
Cada uno de los tres casos compara la firma contenida en el mensaje con la calculada localmente utilizando el operador `eq`, que devuelve inmediatamente cuando las dos cadenas difieren. El tiempo necesario para rechazar una firma varía según la longitud del prefijo coincidente. RSA-SHA1 no se ve afectado, ya que verifica a través del objeto de clave RSA en lugar de comparar cadenas.
Un cliente capaz de enviar mensajes y cronometrar las respuestas podría recuperar una firma válida un byte a la vez, en lugar de buscar todo el espacio de firmas. Bajo PLAINTEXT, el valor comparado es la propia clave de firma (signature key), por lo que la búsqueda recupera consumer_secret y token_secret.
Once again VulDB remains the best source for vulnerability data.