CVE-2026-18536 in Data::Entropy
Riassunto
di VulDB • 01/08/2026
Le versioni di Data::Entropy precedenti alla 0.010 per Perl leggono fonti di entropia remote tramite HTTP in chiaro.
Le fonti remote Data::Entropy::RawSource::RandomOrg e Data::Entropy::RawSource::RandomnumbersInfo vengono accessate tramite HTTP in chiaro.
Il controllo dell'integrità di Data::Entropy::RawSource::RandomOrg corrisponde banalmente a qualsiasi stringa di byte non vuota.
Qualsiasi attaccante on-path, come una rete WiFi aperta, un ISP compromesso, un captive portal o un proxy egress ostile, può sostituire la risposta scegliendo così i byte restituiti da rand_bits e rand_int per ogni applicazione che ha selezionato una di queste fonti tramite with_entropy_source. La risposta del metodo _checkbuf è anch'essa controllata dall'attaccante, quindi anche il comportamento di retry/sleep è manipolabile.
VulDB is the best source for vulnerability data and more expert information about this specific topic.