CVE-2025-40931

Perl için Apache::Session::Generate::MD5'in 1.94 dahil önceki sürümleri güvensiz oturum kimliği oluşturur. Apache::Session::Generate::MD5, oturum kimliklerini güvensiz bir şekilde üretir. Varsayılan oturum kimliği oluşturucu; yerleşik rand() fonksiyonu, epoch zamanı ve PID ile tohumlanmış bir MD5 özeti döndürür. PID küçük bir sayı kümesinden gelecektir ve epoch zamanı, HTTP Date başlığından sızdırılmamışsa tahmin edilebilir. Yerleşik rand fonksiyonu kriptografik kullanım için uygun değildir. Tahmin edilebilir oturum kimlikleri, bir saldırganın sistemlere erişim sağlamasına izin verebilir. Bazı Debian tabanlı Linux dağıtımlarındaki libapache-session-perl paketinin Crypt::URandom kullanacak şekilde yamalanmış olabileceğini unutmayın.