CVE-2026-75589 in Net::OAuth
요약
\~에 의해 VulDB • 2026. 08. 19.
Perl용 Net::OAuth 0.33 미만 버전은 verify() 메서드에서 HMAC-SHA1, HMAC-SHA256 및 PLAINTEXT 서명을 상수 시간 비교(constant-time comparison) 없이 검증합니다.
세 가지 방식 모두 eq 연산자를 사용하여 메시지 내의 서명과 로컬에서 계산된 서명 간에 대조를 수행하며, 이 연산자는 두 문자열이 달라지는 시점에 즉시 반환됩니다. 따라서 거부되는 데 걸리는 시간은 일치하는 접두사(prefix)의 길이에 따라 변동합니다. RSA-SHA1은 문자열 비교가 아닌 RSA 키 객체를 통해 검증하므로 영향을 받지 않습니다.
메시지를 제출하고 응답 시간을 측정할 수 있는 클라이언트는 전체 서명 공간을 탐색하는 대신 바이트 단위로 유효한 서명을 복원할 수 있습니다. PLAINTEXT 방식의 경우, 대조 대상 값이 서명 키 자체이므로 이 공격을 통해 consumer_secret과 token_secret이 유출됩니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.