CVE-2026-47372: Crypt::SaltedHash para Perl - Geração Previsível de Salt (CWE-338)

Visão geral

O Crypt::SaltedHash, um módulo para Perl, está associado ao CWE-338, que trata do uso de um gerador de números pseudoaleatórios criptograficamente fraco. Segundo o registro, as versões até 0.09 usam a função embutida rand para produzir salts, e essa função é previsível e inadequada para criptografia.

Impacto

A pontuação base CVSS 3.1 informada pelo CNA é 9.1 (Crítica), com vetor de ataque pela rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto em confidencialidade e integridade. Salts previsíveis enfraquecem o hash com salt, pois o salt deve ser imprevisível. As consequências práticas dependem de como cada aplicação usa o módulo, o que o registro não descreve.

Produtos e versões afetadas

Produto: Crypt::SaltedHash para Perl.
Versões afetadas segundo a descrição: até 0.09.
A lista de afetados do registro está vazia, portanto não há faixas de versão estruturadas nem dados CPE.
A lista de referências inclui o changelog da versão 0.10 (changelog no MetaCPAN). O registro não afirma explicitamente que essa versão contém a correção.

Status de exploração

O registro indica que este CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas. A probabilidade EPSS é 0.00505, com percentil de 0.41499.

Correção e mitigação

Identifique sistemas, projetos Perl e pipelines de build que dependem do Crypt::SaltedHash e registre as versões instaladas.
Planeje a atualização para uma versão posterior à 0.09 e confirme a versão corrigida no changelog do mantenedor antes da implantação.
Revise o patch do commit referenciado para que os revisores de código entendam a mudança.
Enquanto a atualização não for possível, verifique se salts gerados pelas versões afetadas foram armazenados e considere recalcular hashes de credenciais no próximo login do usuário, quando o desenho da aplicação permitir.
Trate a correção da geração de salts como apenas uma etapa. Hashes armazenados com salts fracos podem exigir tratamento adicional.

Orientações de detecção

Faça o inventário de manifestos de dependências Perl e das versões instaladas em servidores, contêineres e ambientes de build.
Inclua o nome e a versão do módulo nas revisões de lista de materiais de software (SBOM).
Monitore alterações inesperadas de autenticação ou de contas em aplicações que dependam deste módulo, como parte do monitoramento geral.

Limitações das informações disponíveis

O registro não traz dados estruturados de versões afetadas ou corrigidas, o nome do CWE, nem confirmação independente do fornecedor sobre a versão corrigida. O status da fonte está como Deferred. Verifique os limites de versão e a disponibilidade de correção com o mantenedor e as referências citadas antes de tomar decisões.

Perguntas frequentes

Qual é a falha no Crypt::SaltedHash?

Segundo o registro, as versões até 0.09 geram salts com a função embutida rand, que é previsível e inadequada para criptografia.

Qual é a gravidade do CVE-2026-47372?

A pontuação base CVSS 3.1 informada pelo CNA é 9.1, classificada como Crítica. O registro não inclui pontuações de outros provedores.

Há exploração conhecida desta falha?

O registro indica que ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

O que administradores devem fazer agora?

Identificar as instalações, planejar a atualização para uma versão posterior à 0.09 após confirmar a versão corrigida com o mantenedor, e avaliar se credenciais com salts fracos precisam ser recalculadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.