PT-2026-49531 · Timlegge · Crypt::Dsa

Richard Kettlewell · Publicado 2026-06-15 · Atualizado 2026-06-16 · CVE-2026-12205

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Crypt::DSA versões anteriores a 1.21

Description O software reutiliza o nonce em assinaturas, o que pode levar à recuperação da chave privada. A função sign() no módulo Crypt::DSA::sign armazena em cache o material do nonce por assinatura dentro do objeto Key e não o limpa. Consequentemente, a primeira chamada para sign() em um objeto Key seleciona um nonce, e todas as chamadas subsequentes para sign() nesse mesmo objeto o reutilizam, resultando em um valor "r" idêntico. Quaisquer chaves usadas para assinar mais de uma vez usando uma versão afetada são consideradas comprometidas.

Recommendations Atualize para a versão 1.21 ou posterior.

Correção

Enumeração de Fraquezas

CWE-323

Identificadores relacionados

CVE-2026-12205

Produtos afetados

Crypt::Dsa

Referências · 7

• https://twitter.com/VulmonFeeds/status/2066723400018456687 · Publicação no Twitter
• https://metacpan.org/release/TIMLEGGE/Crypt-DSA-1.20/source/lib/Crypt/DSA.pm#L47 · Nota
• http://openwall.com/lists/oss-security/2026/06/15/4 · Nota
• https://twitter.com/NewsNerdie/status/2066944609419206727 · Publicação no Twitter
• https://t.me/CVEtracker/56920 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-12205 · Nota de Segurança
• https://metacpan.org/release/TIMLEGGE/Crypt-DSA-1.21/changes · Nota