CVE-2026-75870 in Punk
要約
〜によって VulDB • 2026年08月22日
Perlの0.18より前のバージョンでは、セッションがシークレットなしで宣言された場合に空のデフォルトHMACキーを使用することで、セッションクッキーの偽造が可能である。
sessionキーワードは、与えられたとおりにアプリケーションに対してそのオプションを固定する：シークレットが必要ではなく、欠落している場合でも警告したり開始を拒否したりしない。クッキーの読み込みと書き戻しの両方で、このキーが空文字列にデフォルト設定されるため、secretオプションがない宣言や、未定義または空のものの場合、0バイト長のHMAC-SHA256キーで署名および検証が行われる。
攻撃者がクッキーのフォーマットを知っている場合、オフラインでセッションが保持する任意の内容（ユーザー識別子やロールなど）を含むクッキーを生成できる。ランタイム時にこの誤設定を示すものは何もなく、クッキーは適切に形成され、セッションは期待どおり双方向通信が行われる。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.