„`html
Zusammenfassung
CVE-2026-11625 beschreibt eine kritische Schwachstelle in der Perl-Bibliothek Bytes::Random::Secure in Version 0.29 und älter. Die Vulnerability ermöglicht es Angreifern, kryptographische Schlüssel und Secrets in Multiprocess-Anwendungen vorherzusagen. Der Schweregrad wird mit CVSS 7.5 (High) bewertet.
Betroffene Systeme
Die Vulnerability betrifft folgende Konfigurationen:
- Bytes::Random::Secure Versionen ≤ 0.29 für Perl
- Multiprocess-Anwendungen, die diese Bibliothek verwenden
- Systeme mit funktionaler Schnittstelle zur PRNG-Initialisierung
- Anwendungen mit vorzeitiger Objektinitialisierung vor Fork-Operationen
Technische Details
Die Schwachstelle liegt in der fehlerhaften Verwaltung des internen Zustands des Pseudozufallszahlengenerators (PRNG). Wenn ein Bytes::Random::Secure-Objekt vor dem Forking eines Prozesses initialisiert wird oder die funktionale Schnittstelle verwendet wird, wird der interne PRNG-Zustand zwischen allen Fork-Kindprozessen geteilt.
Dies führt zu identischen Zufallszahlenströmen in verschiedenen Prozessen. Sicherheitskritische Geheimnisse wie Kryptographieschlüssel oder Session-Tokens werden dadurch vorhersehbar und können von Angreifern reproduziert werden, die Zugriff auf einen oder mehrere Prozesse haben.
Empfohlene Massnahmen
- Sofortige Aktualisierung: Update auf Bytes::Random::Secure > 0.29 durchführen
- Code-Review: Multiprocess-Anwendungen auf PRNG-Initialisierungsmuster überprüfen
- Geheimnis-Neuinitialisierung: Nach Fork-Operationen PRNG neu initialisieren
- Monitoring: Sicherheitsprotokolle auf unerwartete Zugriffsmuster prüfen
- Dependency-Management: Perl-Dependencies regelmäßig auditen
Bewertung
CVSS Score: 7.5 (High)
Verfügbar: Kein offizieller Patch zum Zeitpunkt der Veröffentlichung
Die hohe Bewertung ist gerechtfertigt durch die Vorhersagbarkeit kryptographischer Geheimnisse in weit verbreiteten Multiprocess-Umgebungen, insbesondere in Web-Servern und Backend-Services.
„`