„`html
Zusammenfassung
Die Perl-Komponente CGI::Session::ID::md5 in Versionen vor 4.49 generiert vorhersehbare Session-IDs aufgrund niedriger Entropie bei der Erstellung. Dies ermöglicht Angreifern, Session-IDs zu prognostizieren und damit Authentifizierungsmechanismen zu umgehen. Die Schwachstelle wird als Medium-Schweregrad mit einem CVSS-Score von 5.9 bewertet.
Betroffene Systeme
Folgende Systeme sind betroffen:
- CGI::Session::ID::md5 vor Version 4.49
- Perl-basierte Webanwendungen mit dieser Komponente
- Legacy-Systeme, die ältere Session-Management-Bibliotheken nutzen
Der Angriffsvektor ist netzwerkbasiert und erfordert keine Authentifizierung oder Benutzerinteraktion.
Technische Details
Die Methode generate_id() konstruiert Session-IDs aus einem MD5-Hash von drei Komponenten:
- Process ID (PID): Begrenzte Wertemenge, leicht vorherzusagen
- Epoch Time: Aus HTTP Date-Header ablesbar oder durch Timing-Analyse zu ermitteln
- Perl rand()-Funktion: Kryptographisch ungeeignet, deterministisch und reversibel
Diese Kombination niedriger Entropie-Quellen ermöglicht es einem Angreifer, den gesamten Raum möglicher Session-IDs in praktischer Zeit zu durchsuchen. Mit bekanntem Zeitstempel und möglichen PIDs kann ein Angreifer gültige Session-IDs berechnen und diese zur Hijacking existierender Benutzersessionen missbrauchen.
Empfohlene Massnahmen
- Sofortiges Upgrade: Aktualisieren Sie CGI::Session::ID::md5 auf Version 4.49 oder höher
- Code Review: Überprüfen Sie alle Anwendungen auf Nutzung der betroffenen Komponente
- Temporäre Mitigationen: Implementieren Sie zusätzliche Sicherheitsebenen wie IP-Validierung, User-Agent-Verifizierung und Session-Timeout-Mechanismen
- Token-Regeneration: Erzwingen Sie häufige Session-Token-Erneuerung
- Monitoring: Überwachen Sie verdächtige Session-Wechsel und anomale Zugriffsmuster
Bewertung
CVSS Score: 5.9 (Medium)
Status: Patch verfügbar (Version 4.49+)
Diese Schwachstelle erfordert prompt Aufmerksamkeit besonders bei Systemen mit sensiblen Daten. Das Sicherheitsrisiko liegt primär in der Session-Hijacking-Gefahr durch Authentifizierungsbypässe.
„`