PT-2026-23118 · Unknown · Apache::Session::Generate::Md5

Robert Rothenberg · Publicado 2026-03-05 · Atualizado 2026-05-15 · CVE-2025-40931

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Apache::Session::Generate::MD5 versões até a 1.94

Descrição O software gera IDs de sessão de maneira insegura. O gerador de ID de sessão padrão utiliza um hash MD5 semeado com a função nativa rand(), o tempo epoch e o ID do processo (PID). O PID provém de um conjunto limitado de números, e o tempo epoch pode ser estimado. A função rand() não é adequada para fins criptográficos. IDs de sessão previsíveis podem permitir que um atacante obtenha acesso não autorizado a sistemas.

Recomendações Atualize para uma versão do Apache::Session::Generate::MD5 superior à 1.94.

Correção

Enumeração de Fraquezas

CWE-340

CWE-338

Identificadores relacionados

CVE-2025-40931

Produtos afetados

Apache::Session::Generate::Md5

Referências · 24

• https://github.com/chorny/Apache-Session/issues/4 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-40931 · Nota de Segurança
• https://openwall.com/lists/oss-security/2019/06/15/1 · Nota
• https://security-tracker.debian.org/tracker/CVE-2025-40931 · Aviso do Fabricante
• https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=930659 · Nota
• https://security.metacpan.org/docs/guides/random-data-for-security.html · Nota
• https://salsa.debian.org/perl-team/modules/packages/libapache-session-perl/-/commit/bdabd71c2f91b18526e31a9dc52b4c17b3d246b7#898a4b8b00022df1b8689910b67707f3e738d180 · Correção
• https://twitter.com/CVEnew/status/2030755421535821970 · Publicação no Twitter
• https://t.me/CVEtracker/46395 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2026/03/05/3 · Nota
• https://ubuntu.com/security/CVE-2025-40931 · Aviso do Fabricante
• https://gitlab.ow2.org/lemonldap-ng/lemonldap-ng/-/work_items/1633 · Nota
• https://cve.org/CVERecord?id=CVE-2025-40931 · Nota de Segurança
• https://rt.cpan.org/Ticket/Display.html?id=173631 · Nota
• https://lists.security.metacpan.org/cve-announce/msg/37639294 · Nota