PT-2025-4478
CVE-2025-22376
·
تاريخ النشر
2025-01-03
·
تاريخ التحديث
2026-10-06
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Net::OAuth الأقدم من 0.29
الوصف
الرقم العشوائي (nonce) الافتراضي في Net::OAuth::Client هو عدد صحيح مكون من 32 بت يتم إنشاؤه بواسطة الدالة الأصلية
rand()، وهو غير قوي من الناحية التشفيرية. يمكن استغلال هذه الثغرة الأمنية بسبب استخدام مولد أرقام شبه عشوائية غير آمن من الناحية التشفيرية.التوصيات
بالنسبة للإصدارات الأقدم من 0.29، يُنصح باستخدام مولد أرقام شبه عشوائية آمن من الناحية التشفيرية لتوليد أرقام nonce، أو الترقية إلى إصدار يستخدم طريقة آمنة لتوليد أرقام nonce. كإجراء مؤقت، يُنصح بتعطيل استخدام توليد الـ nonces الافتراضي حتى يتوفر تصحيح. قم بتقييد الوصول إلى الوحدة النمطية
Net::OAuth::Client لتقليل مخاطر الاستغلال. تجنب استخدام الدالة rand() لتوليد الـ nonces في نقاط نهاية واجهة برمجة التطبيقات (API) المتأثرة حتى يتم حل المشكلة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾