CVE-2026-45191: falha de média gravidade em STIGTSP Net::CIDR::Lite
Net::CIDR::Lite versions before 0.24 for Perl does not properly consider extraneous zero characters in CIDR mask values, which may allow IP ACL bypass
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
Uma falha no Net::CIDR::Lite permite que invasores desviem controles de acesso por IP usando caracteres zero preenchidos na notação CIDR (como /00 em vez de /0). A biblioteca não valida adequadamente esses valores malformados, tratando-os como legítimos.
O Net::CIDR::Lite anterior à versão 0.24 falha em normalizar valores de máscara CIDR com zeros iniciais excessivos, permitindo que um atacante crie blocos CIDR com notação preenchida (/00, /01) que interpretam identicamente a valores sem preenchimento, mas podem contornar validação de ACL. Isso permite bypass de controle de acesso baseado em IP onde regras de lista negra ou branca podem ser contornadas através de representações CIDR alternativas.
No mesmo produto, das mais perigosas para as menos.