PT-2026-55751 · Cpan · Crypt::Dsa

Publicado 2026-07-05 · Atualizado 2026-07-05 · CVE-2026-14570

Positive Technologies (AI Summary) · Pt

Nome do Software Vulnerável e Versões Afetadas Crypt::DSA versões anteriores a 1.22

Descrição O software extrai o nonce de assinatura DSA e a chave privada de um gerador aleatório enviesado. Especificamente, a função makerandom() em Crypt::DSA::Util força o bit mais significativo de cada valor retornado para garantir um inteiro de N bits para a busca de primos. Isso resulta em valores não uniformes, pois o bit superior é fixo. Um invasor pode recuperar a chave privada usando um ataque de rede (lattice attack) ao coletar um número modesto de assinaturas e a chave pública.

Recomendações Atualize para a versão 1.22 ou posterior. Gere novas chaves, pois quaisquer chaves usadas para assinar com versões afetadas devem ser consideradas comprometidas.

Use of Insufficiently Random Values

Enumeração de Fraquezas

CWE-330

Identificadores relacionados

CVE-2026-14570

Produtos afetados

Crypt::Dsa

Referências · 7

• http://openwall.com/lists/oss-security/2026/07/05/1 · Nota
• https://metacpan.org/release/TIMLEGGE/Crypt-DSA-1.22/diff/TIMLEGGE/Crypt-DSA-1.21#lib/Crypt/DSA/Util.pm · Nota
• https://twitter.com/oss_security/status/2073581700534182140 · Publicação no Twitter
• https://metacpan.org/release/TIMLEGGE/Crypt-DSA-1.22/changes · Nota
• https://metacpan.org/release/TIMLEGGE/Crypt-DSA-1.21/source/lib/Crypt/DSA/Util.pm#L56 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-14570 · Nota de Segurança
• https://reddit.com/r/pwnhub/comments/1uo89ao/cryptdsa_versions_before_122_for_perl_draw_the · Publicação no Reddit