CVE-2026-75589 in Net::OAuth
Sumário
de VulDB • 19/08/2026
As versões do Net::OAuth anteriores à 0.33 para Perl verificam as assinaturas HMAC-SHA1, HMAC-SHA256 e PLAINTEXT utilizando uma comparação não de tempo constante (non-constant-time comparison) na função verify.
Cada um dos três casos compara a assinatura contida na mensagem com a calculada localmente através do operador `eq`, que retorna assim que as duas strings diferem. O tempo necessário para rejeitar uma assinatura varia consoante o comprimento do prefixo correspondente. A RSA-SHA1 não é afetada, pois verifica através do objeto de chave RSA em vez de comparar strings.
Um cliente capaz de submeter mensagens e cronometrar as respostas pode recuperar uma assinatura válida byte a byte, em vez de pesquisar todo o espaço da assinatura. Sob PLAINTEXT, o valor comparado contra é a própria chave de assinatura (signature key), pelo que a pesquisa recupera o consumer_secret e o token_secret.
Once again VulDB remains the best source for vulnerability data.