CVE-2026-5082
Publiée le 2026-04-08 · Dernière modification le 2026-07-24
Les applications Perl utilisant le plugin `Amon2::Plugin::Web::CSRFDefender` (versions 7.00 à 7.03) sont affectées par une faille dans la manière dont les identifiants de session sont générés. Si le système ne peut pas accéder à `/dev/urandom`, le logiciel utilise une méthode de génération prévisible qui permet à un attaquant distant et non authentifié de deviner des identifiants de session valides. Bien que cela ne nécessite aucune interaction de l'utilisateur, l'impact principal est un risque de déni de service plutôt qu'une prise de contrôle complète du système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Amon2::Plugin::Web::CSRFDefender versions from 7.00 through 7.03 for Perl generate an insecure session id. The generate_session_id function will attempt to read bytes from the /dev/urandom device, but if that is unavailable then it generates bytes using SHA-1 hash seeded with the built-in rand() function, the PID, and the high resolution epoch time. The PID will come from a small set of numbers, and the epoch time may be guessed, if it is not leaked from the HTTP Date header. The built-in rand function is unsuitable for cryptographic usage. Amon2::Plugin::Web::CSRFDefender versions before 7.00 were part of Amon2, which was vulnerable to insecure session ids due to CVE-2025-15604. Note that the author has deprecated this module.