JVNDB-2026-006195

Tokuhiro Matsuno (tokuhirom)のHTTP::Session2における複数の脆弱性

Perl用のHTTP::Session2バージョン1.12未満では、rand()関数を使用して弱いセッションIDが生成される可能性があります。HTTP::Session2のセッションIDジェネレーターは、組み込みのrand関数、エポック時間、およびPIDをシードとして使用してSHA-1ハッシュを返します。PIDは限られた数の中から取得され、エポック時間はHTTP Dateヘッダーから漏洩しなければ推測される可能性があります。組み込みのrand()関数は暗号学的用途には不適切です。バージョン1.02以降のHTTP::Session2は、セッションID生成に/dev/urandomデバイスの使用を試みますが、そのデバイスが利用できない場合（例えばWindows環境下）には、上記の安全でない方法に戻ります。

Tokuhiro Matsuno (tokuhirom)

• HTTP::Session2 1.12 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアの一部が停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-3255: HTTP::Session2 versions before 1.12 for Perl may generate weak session ids using the rand() function

1. 暗号における脆弱な PRNG の使用(CWE-338) [その他]
2. 予測可能な数字や識別子の生成(CWE-340) [その他]

1. CVE-2026-3255

1. National Vulnerability Database (NVD) : CVE-2026-3255
2. 関連文書 : lib/HTTP/Session2/ServerStore.pm - metacpan.org
3. 関連文書 : lib/HTTP/Session2/Random.pm - metacpan.org
4. 関連文書 : Changes - metacpan.org
5. 関連文書 : https://github.com/tokuhirom/HTTP-Session2/commit/9cfde4d7e0965172aef5dcfa3b03bb48df93e636.patch

• [2026年03月06日]
    掲載