JVNDB-2026-010142

JJNAPIORKのPAGI::Middleware::Session::Store::Cookieにおける複数の脆弱性

PAGI::Middleware::Session::Store::Cookie のバージョン0.001003までのPerlモジュールは、ランダムバイトを安全でない方法で生成します。PAGI::Middleware::Session::Store::Cookieは /dev/urandom デバイスから直接バイトを読み取ろうとします。もしそれが失敗した場合（たとえば、Windowsのようにそのデバイスが存在しないシステムでは）、Crypt::URandom のインストールを推奨する警告を出し、組み込みの rand 関数で生成されたランダムバイト列を返しますが、これは暗号用途には不適切です。このモジュールは Crypt::URandom モジュールを使用しておらず、インストールしても問題は解決しません。これらのランダムバイトはクッキーを暗号化する初期化ベクター（IV）を生成するために使われます。予測可能なIVは、悪意あるユーザーがクッキーに保存されたセッションデータを解読したり改ざんしたりしやすくする可能性があります。

JJNAPIORK

• PAGI::Middleware::Session::Store::Cookie 0.001003 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Openwall

• Openwall mailing list archives : oss-security - Fwd: CVE-2026-5087: PAGI::Middleware::Session::Store::Cookie versions through 0.001003 for Perl generates random bytes insecurely

1. 弱い初期化ベクトル（IV）の生成(CWE-1204) [その他]
2. 暗号における脆弱な PRNG の使用(CWE-338) [その他]

1. CVE-2026-5087

1. National Vulnerability Database (NVD) : CVE-2026-5087
2. 関連文書 : Client Challenge

• [2026年04月06日]
    掲載