CVE-2026-47373: falha de alta gravidade em RRWO Crypt::SaltedHash
Crypt::SaltedHash versions through 0.09 for Perl is susceptible to timing attacks
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
Versões do Crypt::SaltedHash até 0.09 usam um método de comparação que leva tempos diferentes dependendo de quando caracteres coincidem, permitindo que atacantes adivinhem o hash da senha através de análise de tempo.
A biblioteca utiliza o operador eq padrão do Perl para comparação de hashes, que apresenta tempo de execução variável conforme as posições dos caracteres correspondentes. Um atacante pode medir tempos de resposta em múltiplas tentativas para inferir o valor correto do hash byte a byte, contornando o mecanismo de proteção do salt.
No mesmo produto, das mais perigosas para as menos.