JVNDB-2026-016251

OALDERS (Olaf Alders)のWWW::Mechanize::Cachedにおける複数の脆弱性

PerlのWWW::Mechanize::Cached 2.00未満のバージョンは、世界書き込み可能なオンディスクキャッシュからキャッシュされたHTTPレスポンスをデシリアライズするため、ローカルレスポンスの偽造およびコード実行を可能にします。明示的なキャッシュバックエンドが指定されていない場合、WWW::Mechanize::CachedはデフォルトでCache::FileCacheを/tmp/FileCacheに構築し、バックエンドのドキュメントに記載されているdirectory_umask 000をオーバーライドしません。そのため、キャッシュルートおよびサブディレクトリはスティッキービットなしのモード0777で作成されます。キャッシュエントリはリクエストのsha1_hexで名前付けされ、次回のキャッシュヒット時にStorable::thawを介して読み戻されます。キャッシュツリーへの書き込み権限を持つローカル攻撃者は、既知のURLに対する被害者のキャッシュエントリを任意の冷凍されたHTTP::Responseのバイナリで置き換えることができ、被害者が次にそのURLをget()すると、攻撃者制御のレスポンスバイトが返されます。これらのバイトはStorable::thawに渡されるため、STORABLE_thaw、DESTROY、またはオーバーロードフックに副作用を持つクラスを読み込んだ被害者プロセスは、任意のコード実行にエスカレートされる可能性があります。

OALDERS (Olaf Alders)

• WWW::Mechanize::Cached 2.00 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアの一部が停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-8612: WWW::Mechanize::Cached versions before 2.00 for Perl deserialize cached HTTP responses from a world-writable on-disk cache, enabling local response forgery and code execution

1. 信頼できないデータのデシリアライゼーション(CWE-502) [その他]
2. 重要なリソースに対する不適切なパーミッションの割り当て(CWE-732) [その他]

1. CVE-2026-8612

1. National Vulnerability Database (NVD) : CVE-2026-8612
2. 関連文書 : Default Cache::FileCache to XDG cache home with owner-only permissions by oalders  Pull Request #36  libwww-perl/WWW-Mechanize-Cached  GitHub
3. 関連文書 : Client Challenge
4. 関連文書 : https://github.com/libwww-perl/WWW-Mechanize-Cached/commit/b821647deeedf83490ebc1db91d959d942300ce0.patch

• [2026年05月20日]
    掲載