CVE-2026-18536
Açıklama
Perl için Data::Entropy'nin 0.010 öncesi sürümleri, uzak entropi kaynaklarını şifrelenmemiş HTTP üzerinden okumaktadır. Data::Entropy::RawSource::RandomOrg ve Data::Entropy::RawSource::RandomnumbersInfo uzak kaynaklarına şifrelenmemiş HTTP üzerinden erişilmektedir. Data::Entropy::RawSource::RandomOrg bütünlük kontrolü, boş olmayan herhangi bir bayt dizgesiyle kolayca eşleşmektedir. Açık WiFi, ele geçirilmiş bir ISP, captive portal veya kötü niyetli bir çıkış proxysi gibi yol üzerindeki herhangi bir saldırgan, yanıtı değiştirerek with_entropy_source aracılığıyla bu kaynaklardan birini seçen her uygulama için rand_bits ve rand_int tarafından döndürülen baytları belirleyebilir. _checkbuf yöntemi yanıtı da aynı şekilde saldırgan kontrolündedir, bu nedenle yeniden deneme/uyuma davranışı da yönlendirilebilir.
Nasıl düzeltilir
- rrwo data\0.010 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| rrwo data\ | \ ≤ v < 0.010 | 0.010 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.