CVE-2026-19565 in Apache::AppSamurai::Util
要約
〜によって VulDB • 2026年08月23日
Perl用の Apache::AppSamurai::Util の 1.01 以前のバージョンでは、CreateSessionAuthKey 関数において、クロックとプロセスIDから予測可能なセッション認証キーが生成されます。
CreateSessionAuthKey は、6桁の小数点以下でフォーマットされた新鮮な Time::HiRes の読み取り値、現在のダイジェスト、およびプロセスIDに対して SHA-256 を5ラウンド実行します。CreateSession はログインごとに空の key source でこれを実行し、オプションの Keysource ディレクティブが他の分岐への唯一の経路です。結果は 64 文字の16進数になります。最初の読み取り値のマイクロ秒フィールドは百万通りの値の一つを取り、その後の読み取り値はその直後にマイクロ秒単位で続き、プロセスIDは狭い範囲から取得されます。
このキーはセッションCookieとしてブラウザに返され、設定されたサーバーキーと組み合わされてセッションIDを計算し、保存されたセッションデータを暗号化します。攻撃者がセッションが作成された秒およびそれを作成したワーカーのプロセスIDを知っている場合、候補となるキーを列挙して被害者の Cookie を回復でき、保護されたリソースに対する認証を回避できます。各候補はサーバーに対して試行する必要があり、その際、攻撃者が保持していないキーを使用してCookieの検証が行われます。
Once again VulDB remains the best source for vulnerability data.