PT-2025-32585 · Unknown+1 · Data::Uuid+2

Robrwo · Publicado 2025-01-01 · Atualizado 2025-09-23 · CVE-2025-40920

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas: Catalyst::Authentication::Credential::HTTP versões 1.018 e anteriores

Descrição: O software gera nonces utilizando a biblioteca Perl Data::UUID, que não emprega uma fonte criptográfica forte para a geração de UUID. A Data::UUID retorna UUIDs v3, que são derivados de informações conhecidas e são inadequados para fins de segurança, conforme definido na RFC 9562. Os nonces devem ser gerados utilizando uma fonte criptográfica forte, conforme especificado na RFC 7616.

Recomendações: Atualize o Catalyst::Authentication::Credential::HTTP para uma versão posterior à 1.018.

Correção

Enumeração de Fraquezas

CWE-340

CWE-338

Identificadores relacionados

CVE-2025-40920

Produtos afetados

Catalyst::Authentication::Credential::Http

Data::Uuid

Debian

Referências · 20

• https://github.com/perl-catalyst/Catalyst-Authentication-Credential-HTTP/commit/ad2c03aad95406db4ce35dfb670664ebde004c18.patch · Correção
• https://github.com/perl-catalyst/Catalyst-Authentication-Credential-HTTP/commit/ad2c03aad95406db4ce35dfb670664ebde004c18 · Correção
• https://github.com/perl-catalyst/Catalyst-Authentication-Credential-HTTP/pull/1 · Nota
• https://datatracker.ietf.org/doc/html/rfc9562#name-security-considerations · Nota
• https://ubuntu.com/security/CVE-2025-40920 · Aviso do Fabricante
• https://datatracker.ietf.org/doc/html/rfc7616#section-5.12 · Nota
• https://osv.dev/vulnerability/CVE-2025-40920 · Aviso do Fabricante
• https://twitter.com/Cezar_H_Linux/status/1970458163385180200 · Publicação no Twitter
• https://t.me/CVEtracker/29716 · Publicação no Telegram
• https://security-tracker.debian.org/tracker/CVE-2025-40920 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2025/08/12/1 · Nota
• https://metacpan.org/release/ETHER/Catalyst-Authentication-Credential-HTTP-1.018/source/lib/Catalyst/Authentication/Credential/HTTP.pm#L391 · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2025-40920 · Aviso do Fabricante
• https://security.metacpan.org/patches/C/Catalyst-Authentication-Credential-HTTP/1.018/CVE-2025-40920-r1.patch · Correção
• https://cve.org/CVERecord?id=CVE-2025-40920 · Nota de Segurança