CVE-2026-8507: Crypt::OpenSSL::PKCS12 para Perl - escrita fora dos limites ao analisar arquivos PKCS12

Visão geral

A CVE-2026-8507 é uma fraqueza classificada como CWE-787 (escrita fora dos limites) no Crypt::OpenSSL::PKCS12 para Perl. Segundo o registro no NVD, a falha ocorre quando um arquivo PKCS12 contendo um atributo OCTET STRING ou BIT STRING muito grande dentro de um SAFEBAG é analisado por info() ou info_as_hash(). O CNA é o CPANSec e o registro foi publicado em 17/05/2026.

Impacto

O registro indica que a escrita fora dos limites ocorre na memória heap e tem potencial de execução remota de código. A causa informada é um estouro de inteiro com sinal no cálculo de tamanho passado para Renew(). As duas pontuações CVSS 3.1 registradas são 9.8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que indica vetor de rede, sem privilégios e sem interação do usuário. Os dados SSVC do registro classificam o impacto técnico como total e a automatização como possível.

Produtos e versões afetados

Produto indicado no registro: JONASBN Crypt::OpenSSL::PKCS12.
Faixa afetada indicada no registro: versões até a 1.94, inclusive.
O registro não informa nenhuma versão corrigida. São citadas as notas de versão da 1.95 e um commit de correção, mas o registro não afirma explicitamente que a 1.95 contém a correção.

Status de exploração

O catálogo KEV aparece como não listado no registro, portanto esta vulnerabilidade não consta ali como explorada ativamente. O campo de exploração SSVC está como nenhuma. A probabilidade EPSS é 0,00801 (percentil 0,55484), com data registrada de 13/10/2026. Nas fontes consultadas não aparece exploração confirmada.

Correção e mitigação

Identifique todos os sistemas que usam o Crypt::OpenSSL::PKCS12 e registre a versão instalada.
Priorize a atualização para uma versão posterior à 1.94, como a referenciada nas notas da 1.95, após validar a mudança na documentação do projeto.
Até a correção, evite analisar arquivos PKCS12 de origens não confiáveis com as funções afetadas e restrinja esse processamento a componentes isolados com privilégios limitados.
Acompanhe o rastreador de issues do projeto e a issue 55 para o status da correção.

Orientação de detecção

Faça o inventário de aplicações e dependências Perl que carregam o Crypt::OpenSSL::PKCS12.
Monitore falhas, travamentos ou comportamento anômalo de memória em serviços que processam entradas PKCS12, sobretudo quando as entradas forem incomumente grandes.
Observe encerramentos inesperados de processos Perl que tratam uploads de certificados ou arquivos PKCS12.

Limitações das informações disponíveis

O registro não traz uma versão corrigida estruturada e a lista de correções está vazia. As fontes não oferecem uma análise técnica detalhada do layout de memória, e não encontramos, nos dados consultados, confirmação independente de explorabilidade além da descrição. A data do EPSS no registro é posterior à data de publicação e deve ser verificada na fonte atual.

Perguntas frequentes

O que é a CVE-2026-8507?

É uma fraqueza de escrita fora dos limites (CWE-787) no Crypt::OpenSSL::PKCS12 para Perl, com faixa afetada registrada até a versão 1.94. O registro aponta potencial de execução remota de código.

Há exploração conhecida desta vulnerabilidade?

O indicador KEV no registro é falso e, nas fontes consultadas, não aparece exploração confirmada.

Qual versão corrige o problema?

O registro não informa versão corrigida. São citadas notas da 1.95 e um commit de correção, mas o registro não confirma explicitamente que a 1.95 contém a correção.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.