Crypt::SaltedHash versions through 0.09 for Perl is susceptible to timing attacks

Versões do Crypt::SaltedHash até 0.09 usam um método de comparação que leva tempos diferentes dependendo de quando caracteres coincidem, permitindo que atacantes adivinhem o hash da senha através de análise de tempo.

A biblioteca utiliza o operador eq padrão do Perl para comparação de hashes, que apresenta tempo de execução variável conforme as posições dos caracteres correspondentes. Um atacante pode medir tempos de resposta em múltiplas tentativas para inferir o valor correto do hash byte a byte, contornando o mecanismo de proteção do salt.