CVE-2024-58135 in Mojolicious
要約
〜によって VulDB • 2026年06月17日
Perl用のMojoliciousのバージョン7.28から9.45までは、デフォルトで「mojo generate app」コマンドを使用して弱いHMACセッションクッキーの秘密鍵を生成します。
「mojo generate app」ツールを使ってデフォルトのアプリケーションスケルトンを作成すると、安全でないrand()関数を用いてアプリケーションの設定ファイルに弱い秘密鍵が書き込まれ、アプリケーションのセッションの認証および整合性保護のために使用されます。これにより、攻撃者がアプリケーションのセッションキーをブルートフォースできる可能性があります。
バージョン9.46では、CryptXが存在しない場合でも高品質なランダム性を提供することでこの問題を修正しています。
ユーザーは、今回のアップデートで以前に生成された弱い秘密鍵が置き換えられないことに注意してください。更新後のバージョンが強固な秘密鍵を使用することを保証するためには、以前のバージョンで作成された秘密鍵を必ず交換する必要があります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.