CVE-2026-9265: Crypt::OpenSSL::PKCS12 para Perl: leitura heap fora dos limites em print_attribute (CWE-125)

Visão geral

A CVE-2026-9265 é uma leitura heap fora dos limites no Crypt::OpenSSL::PKCS12 para Perl, com impacto em versões anteriores à 1.96. Segundo o registro, um atributo UTF8STRING copiado fica sem terminador NUL, e o código posterior lê além do comprimento pretendido. A fraqueza é classificada como CWE-125, Leitura Fora dos Limites.

Impacto

O registro indica que bytes adjacentes do heap podem ser copiados para um escalar Perl, o que pode expor dados mantidos na memória do processo.
O vetor CVSS 3.1 registrado é AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H, que descreve alcance pela rede, baixa complexidade, ausência de privilégios, ausência de interação do usuário, alto impacto na confidencialidade, sem impacto na integridade e alto impacto na disponibilidade.
A possibilidade de atingir esse impacto em uma aplicação específica depende de ela repassar conteúdo PKCS12 ou ASN.1 não confiável ao caminho de código afetado. Trata-se de inferência, não confirmada pelo registro.

Produtos e versões afetados

Crypt::OpenSSL::PKCS12 para Perl, em versões anteriores à 1.96, conforme a descrição do registro.
As listas estruturadas de afetados e correções do registro estão vazias, por isso os intervalos exatos de versão dependem da descrição e do arquivo Changes referenciado.

Status de exploração

O registro mostra que a vulnerabilidade não consta no catálogo KEV da CISA, e não há pontuação EPSS informada. Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.

Correção e mitigação

Inventarie os sistemas que usam o Crypt::OpenSSL::PKCS12 e identifique versões anteriores à 1.96.
Atualize para a versão 1.96 ou superior e confirme a versão instalada com as notas da release no arquivo Changes da 1.96.
Revise o patch do commit upstream e a issue upstream para entender o contexto da alteração.
Quando a atualização não for possível de imediato, limite a exposição de serviços que processam arquivos PKCS12 ou dados de atributos ASN.1 não confiáveis com esse módulo, como medida defensiva temporária.

Orientação para detecção

Acompanhe as versões instaladas do módulo em servidores e imagens de build, sinalizando qualquer versão abaixo da 1.96.
Monitore aplicações que usam o módulo quanto a falhas inesperadas, anomalias de memória ou saídas incomuns ao processar entradas PKCS12.
Trate erros inexplicados em fluxos de importação de certificados ou chaves como sinais para análise mais profunda, sem considerá-los indicadores conclusivos.

Limitações das informações disponíveis

O registro não inclui intervalos estruturados de versões afetadas, campos de versão corrigida nem detalhes de reprodução.
Os dados CVSS estão presentes, mas o registro não traz pontuação EPSS, valor SSVC nem cronograma confirmado de exploração.
O status da fonte está registrado como Deferred, então as fontes consultadas podem mudar após a publicação.
A relação entre a versão 1.96 e a correção é inferida a partir das referências e não está explicitamente declarada no texto do registro.

Perguntas frequentes

A CVE-2026-9265 está sendo explorada ativamente?

O registro mostra que a vulnerabilidade não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. Não há pontuação EPSS informada no registro.

Para qual versão devo atualizar?

O registro indica que versões anteriores à 1.96 são afetadas. A referência ao arquivo Changes da 1.96 e ao patch de commit apoia a atualização para a 1.96 ou superior, e a correção exata deve ser confirmada nas notas da release.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.