CVE-2026-8721: Crypt::OpenSSL::PKCS12 para Perl: truncamento de senha em bytes NULL embutidos (CWE-170)

Visão geral

O módulo Perl Crypt::OpenSSL::PKCS12 trata os parâmetros de senha como strings C. De acordo com o registro no NVD, o comprimento que o Perl conhece da senha é descartado, de modo que o código C subjacente interrompe a leitura no primeiro byte NULL. As versões até a 1.94 são descritas como afetadas.

Impacto

Qualquer byte de senha em posição igual ou posterior a um NULL embutido é descartado silenciosamente.
Senhas binárias, derivadas por KDF ou derivadas por HMAC podem perder parte relevante de sua entropia.
Nenhum aviso é emitido, de modo que aplicações podem supor que um segredo mais forte está em uso do que o efetivamente aplicado.
O vetor CVSS 3.1 registrado no NVD (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) indica alto impacto em confidencialidade, integridade e disponibilidade, conforme a pontuação do provedor que a atribuiu.

Produtos e versões afetadas

A descrição informa que as versões do Crypt::OpenSSL::PKCS12 para Perl até a 1.94 são afetadas.
A lista estruturada de produtos afetados no registro está vazia, por isso faixas exatas além dessa afirmação não podem ser confirmadas com as fontes consultadas.
Um changelog da versão 1.95 é referenciado no arquivo Changes no MetaCPAN. O registro não informa se essa versão trata este problema.

Situação de exploração

O registro não inclui esta CVE no catálogo Known Exploited Vulnerabilities da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. A entrada do EPSS da FIRST no registro indica probabilidade de 0,00553 e percentil de 0,44701.

Correção e mitigação

O registro não identifica uma versão corrigida. A ausência de versão corrigida não significa que não exista correção; verifique o arquivo Changes upstream e a distribuição do módulo para notas de versão.
Faça o inventário das aplicações que usam este módulo com senhas, priorizando as que lidam com segredos binários ou derivados.
Até que uma correção seja verificada, evite depender de senhas que contenham bytes NULL. Quando for viável, armazene segredos derivados em codificação textual sob seu controle, e teste a mudança com cuidado, pois arquivos PKCS#12 existentes podem depender dos bytes de senha anteriores.
Refaça os testes de qualquer keystore criado ou lido com versões afetadas após a atualização.

Orientações de detecção

O truncamento não produz erro nem entrada de log, então o monitoramento comum dificilmente o revelará.
Revise os caminhos de código da aplicação em que valores binários ou derivados criptograficamente são passados como senhas para este módulo.
Use dados de teste não produtivos com valores de NULL embutido conhecidos para confirmar se a versão instalada se comporta como descrito no registro.

Limitações das informações disponíveis

O registro não traz faixas estruturadas de versões afetadas ou corrigidas, então o limite das versões afetadas vem apenas da descrição.
Nenhum nome de CWE é fornecido no registro, embora o identificador CWE-170 esteja presente.
A pontuação CVSS é atribuída a um identificador de provedor, e o registro não descreve a justificativa da pontuação.
A data do EPSS no registro é posterior à data de publicação, o que deve ser verificado no feed EPSS atual.
Não se confirma pelas fontes consultadas se a versão 1.95 altera esse comportamento.

Perguntas frequentes

Qual é o problema central da CVE-2026-8721?

Segundo o registro no NVD, o Crypt::OpenSSL::PKCS12 para Perl até a versão 1.94 descarta bytes de senha a partir de um byte NULL embutido, o que reduz silenciosamente a entropia da senha usada.

Há exploração conhecida desta vulnerabilidade?

O registro não a inclui no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.