CVE-2026-5085: Solstice::Session para Perl - Geração Insegura de IDs de Sessão
Solstice::Session para Perl, nas versões até 1440, gera IDs de sessão a partir de entradas previsíveis, incluindo o tempo epoch, uma referência hash convertida em string, rand() e o ID do processo. O mesmo método é usado por Solstice::Subsession no mesmo pacote de distribuição. O registro atribui pontuação CVSS 9.1 e severidade crítica, mas nenhuma exploração confirmada ou versão corrigida aparece nas fontes consultadas.
Visão geral
O Solstice::Session para Perl, nas versões até 1440, gera identificadores de sessão a partir de entradas que o registro descreve como previsíveis. Segundo o registro, o método _generateSessionID cria um digest MD5 a partir do tempo epoch, de uma referência hash convertida em string, da função rand() embutida e do ID do processo. O mesmo método é usado por _generateID em Solstice::Subsession, que pertence à mesma distribuição.
Impacto
- Os identificadores de sessão podem ser previsíveis, e o registro afirma que isso poderia permitir que um atacante ganhe acesso a sistemas.
- O tempo epoch pode ser adivinhado caso não seja vazado no cabeçalho Date HTTP, a função rand() é semeada por 16 bits e o ID do processo vem de um conjunto pequeno de números.
- O registro atribui pontuação CVSS 9.1 e severidade crítica. O vetor listado descreve vetor de ataque pela rede, baixa complexidade, nenhum privilégio exigido e nenhuma interação do usuário, com alto impacto em confidencialidade e integridade.
Produtos afetados e versões
- Solstice::Session para Perl: versões até 1440, conforme listado no registro.
- Solstice::Subsession: o registro afirma que utiliza a mesma abordagem de geração de identificadores de sessão dentro da mesma distribuição. Não há faixa de versão separada informada.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. O registro inclui probabilidade EPSS de 0,00528 e percentil de 0,43906, além de valor SSVC de exploração igual a none e automatizável igual a yes.
Correção e mitigação
- O registro não informa versão corrigida. Isso não significa que não exista correção, por isso verifique o projeto upstream e a fonte do Session.pm no MetaCPAN para atualizações.
- Identifique implantações que usam a distribuição afetada, incluindo componentes que dependem de Solstice::Subsession.
- Enquanto não houver correção, considere limitar a exposição dos identificadores de sessão e revisar o tempo de vida das sessões.
- Após instalar uma versão corrigida, considere invalidar as sessões existentes para que identificadores gerados anteriormente deixem de ser aceitos.
- O guia sobre dados aleatórios para segurança é uma boa referência para corrigir o problema de projeto subjacente.
Orientações de detecção
- Revise logs de autenticação e de sessão em busca de reutilização incomum de sessões ou de sessões iniciadas a partir de origens inesperadas.
- Monitore tentativas repetidas de acesso que possam indicar adivinhação de sessões.
- Mantenha essas verificações em nível geral até que o fornecedor ou o mantenedor publique indicadores mais específicos.
Limitações das informações disponíveis
- O registro não informa versão corrigida nem referência de patch.
- O nome do fornecedor na entrada de produto afetado não é claro, portanto o registro deve ser verificado no projeto upstream.
- O registro não descreve prova de conceito, e não há dados de exploração além das pontuações listadas.
- O nome da CWE não é informado no registro, embora o identificador CWE-338 esteja listado.
Fontes consultadas: entrada na NVD, lista oss-security, Subsession.pm no MetaCPAN.
Perguntas frequentes
Qual é o problema central no Solstice::Session?
Segundo o registro, os identificadores de sessão são construídos a partir de entradas que podem ser adivinhadas ou são previsíveis, incluindo o tempo epoch, uma referência hash convertida em string, rand() e o ID do processo. Identificadores previsíveis podem permitir acesso não autorizado.
Há exploração conhecida desta vulnerabilidade?
O registro indica que a CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Existe versão corrigida disponível?
O registro não informa versão corrigida. Isso não comprova que não exista correção, por isso verifique o projeto upstream e as fontes vinculadas para atualizações.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.