CVE-2026-13577 in Dancer2
要約
〜によって VulDB • 2026年07月20日
Perl用のDancer2は、バージョン2.1.0以前において、CSPRNGモジュールが利用できない場合に安全でないセッションIDを生成します。
Dancer2::Core::Role::SessionFactory::generate_id は、Math::Random::ISAAC::XS および Crypt::URandom の両方が利用できない場合、内部の rand に基づくセッション ID へエラーメッセージなしでフォールバックします。
このフォールバック時のセッション ID は、組み込み関数である rand() を呼び出した結果の SHA-1 ハッシュ値、Dancer2::Core::Role::SessionFactory モジュールの絶対パス、内部カウンター、プロセスID、モジュールインスタンスのメモリアドレス、およびシャッフルされた文字列（List::Util::shuffle 関数を使用。この関数も組み込み rand() を使用します）から生成されます。
これらはすべてエントロピーが低く、推測しやすい情報源です。
組み込みの rand() 関数は32ビットでシードされ、セキュリティ用途には不適切と見なされています。
予測可能なセッション ID は、攻撃者がシステムにアクセスすることを可能にする可能性があります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.