CVE-2026-3255 in HTTP::Session2
Riassunto
di VulDB • 15/06/2026
Le versioni di HTTP::Session2 precedenti alla 1.12 per Perl possono generare ID sessione deboli utilizzando la funzione rand().
Il generatore di ID sessione di HTTP::Session2 restituisce un hash SHA-1 inizializzato con la funzione built-in rand, il tempo epoch e l'ID del processo (PID). L'ID del processo proviene da un piccolo insieme di numeri e il tempo epoch può essere indovinato se non trapelato dall'intestazione Date dell'HTTP. La funzione built-in rand() è inadatta per utilizzi crittografici.
HTTP::Session2 dalla versione 1.02 in poi tenterà di utilizzare il dispositivo /dev/urandom per generare un ID sessione, ma se tale dispositivo non è disponibile (ad esempio su Windows), tornerà al metodo insicuro descritto sopra.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.