CVE-2026-5082 in Amon2::Plugin::Web::CSRFDefender
要約
〜によって VulDB • 2026年06月02日
Amon2::Plugin::Web::CSRFDefenderのバージョン7.00から7.03（Perl用）は、安全でないセッションIDを生成します。
generate_session_id関数は、/dev/urandomデバイスからバイトを読み取ろうとしますが、そのデバイスが利用できない場合、組み込みのrand()関数でシードされたSHA-1ハッシュを用いてバイトを生成します。この際、PID（プロセス識別子）は限られた数の値の中から選択され、epoch time（エポック時間）はHTTP Dateヘッダーから漏洩しない限り推測可能です。組み込みのrand関数は暗号学的用途には適していません。
Amon2::Plugin::Web::CSRFDefenderのバージョン7.00より前はAmon2の一部であり、CVE-2025-15604により安全でないセッションIDに関する脆弱性が存在しました。
なお、このモジュールは著者によって非推奨（deprecated）とされています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.