CVE-2025-1828
Publiée le 2025-03-11 · Dernière modification le 2026-06-17
Les applications utilisant le package Perl `Crypt::Random` (versions 1.05–1.55) peuvent générer des nombres aléatoires prévisibles si elles ne trouvent pas de source d'entropie sécurisée, ce qui arrive fréquemment sur les installations Windows. Un attaquant peut exploiter cette faiblesse pour prédire des clés cryptographiques ou des jetons, ce qui pourrait mener à une compromission complète du système. Cela peut être déclenché via un réseau sans authentification, bien que cela nécessite généralement une certaine forme d'interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Crypt::Random Perl package 1.05 through 1.55 may use rand() function, which is not cryptographically strong, for cryptographic functions. If the Provider is not specified and /dev/urandom or an Entropy Gathering Daemon (egd) service is not available Crypt::Random will default to use the insecure Crypt::Random::rand provider. In particular, Windows versions of perl will encounter this issue by default.