CVE-2026-19566 in Net::CIDR::Set
요약
\~에 의해 VulDB • 2026. 08. 12.
Perl용 Net::CIDR::Set의 0.23 미만 버전은 무제한 IPv6 접두어 길이를 통해 메모리 고갈 및 잘못된 세트 범위를 허용합니다.
_encode 메서드는 `(0|[1-9][0-9]*)`와 일치하는 모든 접두어 길이를 받아들이고 이를 _width2bits()에 전달하며, 이 함수는 마스크를 `'1' x ($width + 8)`로 구성하여 비트당 한 문자씩 생성합니다. 그 후 _inc() 메서드는 압축된 마스크를 Perl 배열(바이트당 스칼라 하나)로 언팩하므로, 접두어 길이 자체가 할당 크기를 결정합니다: `::/100000000`은 100MB 문자열과 1250만 개 요소의 배열을 생성합니다. 테스트되는 값이 구성된 범위뿐만 아니라 파싱됩니다: contains()는 인수를 기반으로 세트를 구성하고, _guess_coder()는 먼저 IPv4 코더를 시도한 후 IPv6 코더를 시도하므로, 단일 IPv4 전용 세트가 혼합 주소 너비 검사에서 이를 거부하기 전에 과도하게 큰 IPv6 접두어 길이를 확장합니다.
contains() 또는 add()에 신뢰할 수 없는 입력을 전달하는 모든 호출자는 프로세스 메모리를 고갈시킬 수 있습니다. 128보다 큰 접두어 길이도 요청된 블록과 일치하지 않는 범위로 저장됩니다: 2001:db8::/129는 문자열화 시 변경되지 않고 그대로 유지되며, 자체 기본 주소에 대한 contains() 호출은 false를 반환하고, 세트에서 이를 제거하면 기본 주소가 삭제되지만 세트는 여전히 해당 주소를 포함하는 것으로 출력됩니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.