CVE-2026-47373: fallo de gravedad alta en RRWO Crypt::SaltedHash
Crypt::SaltedHash versions through 0.09 for Perl is susceptible to timing attacks
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
Las versiones de Crypt::SaltedHash hasta 0.09 utilizan un método de comparación que tarda diferentes tiempos según cuándo coincidan los caracteres, permitiendo que los atacantes adivinen el hash de contraseña mediante análisis de tiempo.
La biblioteca emplea el operador eq estándar de Perl para comparación de hashes, que exhibe tiempo de ejecución variable según las posiciones de coincidencia de caracteres. Un atacante puede medir tiempos de respuesta en múltiples intentos para inferir el valor correcto del hash byte a byte, evitando el mecanismo de protección del salt.
En el mismo producto, de las más peligrosas a las menos.