Robert Rothenberg

**Nome do Software Vulnerável e Versões Afetadas** Imager versões anteriores a 1.033 **Description** O Imager para Perl trata incorretamente contagens de entradas EXIF IFD (Image File Directory) não assinadas como assinadas. Ao processar valores de contagem de entrada grandes, o software os interpreta como números negativos, o que pode levar a uma tentativa de alocar um bloco de memória quase do tamanho do espaço de endereçamento. Essa falha resulta na terminação do processo trabalhador. Um invasor pode explorar isso fornecendo uma imagem especialmente manipulada contendo dados EXIF maliciosos. **Recommendations** Atualize para a versão 1.033.

**Nome do Software Vulnerável e Versões Afetadas** DBI versões anteriores a 1.650 **Descrição** A injeção de código é possível através de um atributo `Profile` influenciado pelo chamador. Quando uma string é atribuída a este atributo, o software a divide em caminho, pacote e argumentos, e então interpola a parte do pacote em um eval de string sem validar o nome do pacote. Isso permite a execução de código Perl arbitrário, incluindo chamadas de comandos do sistema, caso um invasor controle o atributo `Profile`. Este atributo pode ser influenciado por meio da variável de ambiente `DBI PROFILE`, atribuição direta de atributo ou uma cláusula de atributo de driver DSN `dbi:Driver(Profile=>SPEC):db`. Instâncias de DBI::Gofer ou DBI::ProxyServer expostas à rede são particularmente suscetíveis se o DSN por requisição atingir o atributo `Profile`, permitindo a execução remota de código no host do broker. **Recomendações** Atualize para a versão 1.650 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** DBI versões anteriores a 1.650 **Descrição** Ocorre um estouro de heap (heap overflow) ao pré-processar instruções SQL que contenham um número extremo de placeholders. Isso acontece porque não foi alocada memória suficiente para lidar com aproximadamente 1,2 milhão de placeholders. **Recomendações** Atualize para a versão 1.650 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Plack::Middleware::OAuth versões anteriores a 0.11 **Descrição** O Plack::Middleware::OAuth para Perl não oferece suporte ao parâmetro state do OAuth 2.0. A função `RequestTokenV2` constrói o redirecionamento de autorização do provedor sem emitir um valor de estado, e a função `AccessTokenV2` troca o código de callback e registra o token na sessão através de `register session()` sem verificar se o callback corresponde a uma solicitação de autorização iniciada por aquela sessão. Isso permite a falsificação de solicitação cross-site (CSRF) de login, na qual um invasor pode forçar a sessão de uma vítima a se associar à identidade e ao token de acesso do provedor do invasor. Se a aplicação persistir esse vínculo, o invasor poderá manter acesso à conta da vítima. **Recomendações** Atualize o Plack::Middleware::OAuth para a versão 0.11 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Net::IP::LPM versões anteriores a 1.11 **Description** Existe um problema onde uma leitura fora dos limites do heap (heap out-of-bounds read) pode ocorrer devido a um comprimento de prefixo ilimitado. A função `add()` passa uma string de prefixo para a função `addPrefixToTrie()` sem verificá-la em relação à largura do endereço. Consequentemente, a `addPrefixToTrie()` lê além do final do buffer de endereço compactado (4 bytes para IPv4 ou 16 bytes para IPv6) quando o comprimento do prefixo excede 32 para IPv4 ou 128 para IPv6. Essa leitura ocorre durante a construção da trie e é limitada a no máximo 32 bytes a partir do início do endereço compactado. Embora os bytes fora dos limites não sejam expostos através da API do módulo, o processo pode ser abortado ao utilizar AddressSanitizer, valgrind ou um alocador endurecido (hardened allocator). **Recommendations** Atualize o Net::IP::LPM para uma versão posterior à 1.10.

**Nome do Software Vulnerável e Versões Afetadas** CGI::Session::ID::md5 versões anteriores a 4.49 **Descrição** IDs de sessão previsíveis são gerados a partir de fontes de baixa entropia. A função `generate id()` cria o ID da sessão usando um digest MD5 do ID do processo, o tempo epoch e a função integrada `rand()`. Essas fontes são consideradas de baixa entropia porque o ID do processo é extraído de um intervalo pequeno, o tempo epoch pode ser adivinhado ou recuperado do cabeçalho HTTP Date, e a função `rand()` é previsível e reversível. Um invasor que preveja um ID de sessão pode personificar a sessão correspondente e ignorar a autenticação. **Recomendações** Atualize o CGI::Session::ID::md5 para a versão 4.49 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** CSS::Minifier::XS versões anteriores a 0.14 **Descrição** A função `minify()` contém um vazamento de memória que ocorre ao processar um documento composto inteiramente por caracteres destinados à remoção, como espaços em branco e comentários, resultando na minificação total do documento. **Recomendações** Atualize para a versão 0.14 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** JavaScript::Minifier::XS versões anteriores a 0.16 **Descrição** Ocorre uma desreferenciação de ponteiro NULL quando o primeiro token significativo da entrada é uma barra. O problema reside na função `JsTokenizeString()` no arquivo `XS.xs`, onde o disambiguador de expressão regular versus divisão não encontra um token precedente válido quando uma barra inicia a entrada (ou segue apenas espaços em branco e comentários). Isso faz com que o processo leia através de um ponteiro de conteúdo NULL, resultando em um travamento. Isso pode ser acionado via API `minify()`, permitindo que um invasor remoto cause a negação de serviço ao enviar uma requisição contendo um único byte de barra para um serviço que minifica JavaScript não confiável. **Recomendações** Atualize para a versão 0.16 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Mojolicious::Plugin::Web::Auth::OAuth2 versões anteriores a 0.18 **Descrição** O módulo utiliza um parâmetro de estado padrão inseguro quando nenhum gerador de estado é especificado no construtor. Ele gera um hash SHA-1 usando fontes previsíveis e de baixa entropia, especificamente o tempo epoch — que é exposto no cabeçalho HTTP Date — e a função `rand` integrada do Perl. Essa previsibilidade permite que um invasor realize cross site request forgery (CSRF), uma técnica usada para enganar um usuário para executar ações indesejadas em uma aplicação web, podendo levar ao sequestro de sessão. **Recomendações** Atualize para uma versão posterior a 0.17. Como mitigação temporária, especifique um gerador de estado seguro no construtor em vez de confiar na configuração padrão.

**Nome do Software Vulnerável e Versões Afetadas** Crypt::PBKDF2 versões anteriores a 0.261630 **Description** O software utiliza um algoritmo padrão fraco e um número insuficiente de iterações. O algoritmo padrão é o HMAC-SHA1, que deve ser utilizado apenas em sistemas legados. Além disso, a configuração padrão utiliza 1000 iterações, enquanto recomenda-se o uso de 220.000 a 1.400.000 iterações, dependendo do algoritmo selecionado. **Recommendations** Atualize para a versão 0.261630 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Net::CIDR::Set versões anteriores a 0.21 **Descrição** O software não valida endereços IP. A função `add()` chama a função ` encode()` para analisar endereços; se a entrada não se assemelhar a máscaras de rede ou intervalos de rede, ela é tratada como um único endereço IP e passada de volta para si mesma como uma máscara de rede de 32 ou 128 bits. Quando um endereço IP malformado é fornecido, esse processo resulta em recursão indefinida, o que pode ser explorado por um invasor para causar a negação de serviço. **Recomendações** Atualize para a versão 0.21.

**Nome do Software Vulnerável e Versões Afetadas** Crypt::ScryptKDF versões anteriores a 0.011 **Descrição** O software utiliza uma fonte de números aleatórios insegura quando nenhum módulo de Gerador de Números Pseudo-Aleatórios Criptograficamente Seguro (CSPRNG) está disponível. Especificamente, a função `random bytes()` recorre à função integrada `rand()` se os módulos `Crypt::PRNG`, `Crypt::OpenSSL::Random`, `Net::SSLeay`, `Crypt::Random` ou `Bytes::Random::Secure` não estiverem presentes. **Recomendações** Atualize para uma versão posterior a 0.010.

**Nome do Software Vulnerável e Versões Afetadas** Mojolicious::Plugin::Statsd versões anteriores a 0.06 **Description** Este problema permite a injeção de métricas ao processar dados de fontes não confiáveis. O software não valida nomes de métricas e valores definidos quanto à presença de quebras de linha, dois pontos ou pipes, que podem ser usados para injetar métricas statsd adicionais. **Recommendations** Atualize o Mojolicious::Plugin::Statsd para a versão 0.06 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Crypt::SaltedHash versões anteriores a 0.10 **Descrição** O Crypt::SaltedHash para Perl gera valores aleatórios inseguros para salts porque utiliza a função integrada `rand()`, que é previsível e inadequada para fins criptográficos. **Recomendações** Atualize para uma versão posterior a 0.09.

**Nome do Software Vulnerável e Versões Afetadas** Crypt::SaltedHash versões anteriores a 0.110.0 **Descrição** O Crypt::SaltedHash para Perl é suscetível a ataques de temporização (timing attacks) porque utiliza a comparação `eq` integrada do Perl. Discrepâncias no tempo de resposta podem ser usadas para adivinhar o hash subjacente. **Recomendações** Atualizar para a versão 0.110.0.

**Nome do Software Vulnerável e Versões Afetadas** Template::Plugin::HTML versões anteriores a 3.103 **Descrição** O Template::Plugin::HTML para Perl permite a injeção de HTML e JavaScript. A função `html filter()` não escapa aspas simples, o que possibilita a injeção de código em atributos HTML delimitados por aspas simples. Por exemplo, uma variável como `var` usada em `<a id='ref' title='[% var | html %]'>` não é devidamente escapada. Um invasor poderia fornecer um valor como ` ' onclick='while (true) { alert(1) }'` para executar scripts. A capacidade de injetar HTML e JavaScript arbitrário é limitada, pois colchetes angulares, e-comerciais e aspas duplas continuam sendo escapados. **Recomendações** Atualize para uma versão posterior a 3.102. Como medida paliativa temporária, evite usar aspas simples para atributos HTML ao utilizar a função `html filter()`.

**Nome do Software Vulnerável e Versões Afetadas** Web::Passwd versão 0.03 **Descrição** O Web::Passwd, uma pequena aplicação CGI para gerenciar arquivos htpasswd por meio do comando htpasswd, permite a execução remota de código. O parâmetro `user` não é validado ou escapado antes de ser usado como o argumento final na linha de comando, o que possibilita a injeção de comandos. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Amazon::Credentials versões anteriores a 1.3.0 **Descrição** O Amazon::Credentials armazena credenciais de forma ofuscada para evitar que segredos sejam acessados por meio de um dump de dados do objeto. O software utiliza uma chave de 64 bits gerada pela função integrada `rand` para criptografar esses segredos. A função `rand` é previsível e inadequada para fins criptográficos. **Recomendações** Atualize para a versão 1.3.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Crypt::PasswdMD5 versões anteriores a 1.43 **Descrição** O software gera valores aleatórios inseguros para salts porque a função integrada `rand()` é previsível e inadequada para fins criptográficos. **Recomendações** Atualize para uma versão posterior a 1.42.

**Nome do Software Vulnerável e Versões Afetadas** Apache::Session::Generate::ModUniqueId versões 1.54 a 1.94 **Descrição** O Apache::Session::Generate::ModUniqueId utiliza a variável de ambiente `UNIQUE ID` para identificadores de sessão. Esta variável é gerada pelo plugin Apache mod unique id utilizando o endereço IPv4, o ID do processo, o tempo epoch, um contador de 16 bits e um índice de thread, sem obfuscação. Como o IP do servidor, os IDs de processo e os carimbos de data/hora são frequentemente públicos ou previsíveis, esses identificadores de sessão são inseguros e inadequados para fins de segurança. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.