JVNDB-2026-012188

Stig (stigtsp)のNet::CIDR::Liteにおける入力の構文的正当性の検証に関する脆弱性

Perl用Net::CIDR::Liteのバージョン0.23未満には、IPv6のグループ数を検証しないため、IP ACLのバイパスを許す可能性がある脆弱性があります。_pack_ipv6()関数は、圧縮されていないIPv6アドレス（::なし）が正確に8つの16進数グループを持つかどうかをチェックしません。例えば、"abcd"、"1:2:3"、"1:2:3:4:5:6:7"のような入力が受け入れられ、誤った長さ（3、7、または15バイトで、正しいのは17バイト）のパック値が生成されます。これらのパック値は内部でマスクや比較操作に使用され、find()およびbin_find()関数はそれらの値に対してPerlの文字列比較（lt/gt）を行うため、異なる長さの文字列を比較すると誤った結果が生じます。これにより、find()関数はアドレスが範囲内または範囲外であると誤って報告する可能性があります。例えば、my $cidr = Net::CIDR::Lite-new("::/8"); $cidr-find("1:2:3");は無効な入力ですが誤ってtrueを返します。この問題は、以前にこのモジュールで修正されたIPv4の先頭ゼロに関する入力検証問題と同様の入力検証問題です。同じ関数でIPv4マップドIPv6アドレスに影響する関連問題も存在します。

Stig (stigtsp)

• Net::CIDR::Lite 0.23 未満

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

1. 入力の構文的正当性の不適切な検証(CWE-1286) [その他]

1. CVE-2026-40199
2. CVE-2026-40198

1. National Vulnerability Database (NVD) : CVE-2026-40198
2. 関連文書 : Changes - metacpan.org
3. 関連文書 : https://github.com/stigtsp/Net-CIDR-Lite/commit/25d65f85dbe4885959a10471725ec9d250a589c3.patch

• [2026年04月23日]
    掲載