JVNDB-2026-014072

PerlDancerのDancer::Session::Abstractにおける複数の脆弱性

Dancer::Session::Abstractのバージョン1.3522までのPerlは、セッションIDを安全でない方法で生成します。セッションIDは、絶対パス名の文字コードの合計とプロセスID、エポック時間、組み込みのrand()関数の呼び出し（0から9990億までの数値を返します）を足し合わせ、その結果を3回連結して生成されます。パス名は攻撃者によって知られるか推測される可能性があり、特に標準インストール場所でDancerを使用して書かれたアプリケーションで顕著です。エポック時間も攻撃者によって推測される可能性があり、HTTPヘッダーで漏洩することがあります。プロセスIDは限られた数値の範囲から来ており、ワーカーは連続したプロセスIDを持つことがあります。組み込みのrand()関数は32ビットでシードされており、セキュリティ用途には不適切であるとされています。予測可能なセッションIDは攻撃者にシステムへのアクセスを許す可能性があります。

PerlDancer

• Dancer::Session::Abstract 1.3522 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-5080: Dancer::Session::Abstract versions through 1.3522 for Perl generates session ids insecurely

1. 暗号における脆弱な PRNG の使用(CWE-338) [その他]
2. 予測可能な数字や識別子の生成(CWE-340) [その他]

1. CVE-2026-5080

1. National Vulnerability Database (NVD) : CVE-2026-5080
2. 関連文書 : Client Challenge (https://security.metacpan.org/patches/D/Dancer/1.3522/CVE-2026-5080-r1.patch)
3. 関連文書 : Client Challenge (https://metacpan.org/release/BIGPRESH/Dancer-1.3522/source/lib/Dancer/Session/Abstract.pm#L85-102)

• [2026年05月07日]
    掲載