CVE-2026-6146
Publiée le 2026-05-11 · Dernière modification le 2026-10-26
Les applications Perl utilisant les versions 1.2.0 et antérieures de `Amazon::Credentials` sont concernées car elles utilisent un générateur de nombres aléatoires prévisible pour chiffrer les secrets stockés. Un attaquant disposant d'un accès réseau peut potentiellement deviner la clé de chiffrement et déchiffrer vos identifiants Amazon sans nécessiter d'authentification ni d'interaction de l'utilisateur. Bien que l'attaque soit simple à exécuter, elle ne permet que le vol des identifiants stockés plutôt qu'un contrôle direct du serveur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Amazon::Credentials versions through 1.2.0 for Perl uses rand to generate encryption keys. Amazon::Credentials stores credentials in an obfuscated form to prevent access to the secrets from a data dump of the object. Before version 1.3.0, the secrets were encrypted using a 64-bit key that was generated using the built-in rand function, which is predictable and unsuitable for cryptography.