CVE-2025-40933
Publiée le 2025-09-17 · Dernière modification le 2026-09-26
Les applications Perl utilisant le module `Apache::AuthAny::Cookie` (version 0.201 ou antérieure) génèrent des identifiants de session à l'aide de méthodes prévisibles plutôt que d'un hasard cryptographiquement sécurisé. Un attaquant non authentifié disposant d'un accès réseau peut deviner ces identifiants pour détourner des sessions utilisateur actives et obtenir un accès non autorisé au système. Cette exploitation ne nécessite aucune interaction de l'utilisateur et est relativement facile à exécuter car la logique de génération de session repose sur des horodatages prévisibles.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Apache::AuthAny::Cookie v0.201 or earlier for Perl generates session ids insecurely. Session ids are generated using an MD5 hash of the epoch time and a call to the built-in rand function. The epoch time may be guessed, if it is not leaked from the HTTP Date header. The built-in rand function is unsuitable for cryptographic usage. Predicable session ids could allow an attacker to gain access to systems.