平台
perl
组件
apache2-api
修复版本
0.5.3
CVE-2026-5088 描述了 Apache::API::Password Perl 模块中的一个安全漏洞，该漏洞源于在生成密码盐时使用不安全的随机数生成器。当 Crypt::URandom 和 Bytes::Random::Secure 模块不可用时，该模块会回退到 Perl 内置的 rand 函数，而 rand 函数不适合用于密码学目的。此漏洞可能导致密码哈希的安全性降低，影响使用 Apache::API::Password 模块的应用程序。受影响的版本包括 0.0.0 到 v0.5.2，但 0.5.3 版本已经提供了修复。
Apache::API::Password 在 0.5.3 之前的版本中存在 CVE-2026-5088 漏洞。当 Crypt::URandom 或 Bytes::Random::Secure 模块不可用时，该库会回退到 Perl 内置函数 rand() 来生成密码哈希中使用的盐（salt）。rand() 函数不适用于密码学目的，这意味着生成的盐可能是可预测的。获得对哈希密码访问的攻击者可能会利用这种可预测性来破解哈希并恢复原始密码，从而危及用户帐户的安全。此漏洞的严重程度取决于受哈希密码保护数据的关键程度以及攻击者利用此漏洞的可能性。
利用此漏洞需要访问使用 Apache::API::Password 对密码进行哈希处理的代码。攻击者需要获取哈希密码，然后使用暴力破解技术或彩虹表来尝试破解哈希。此攻击的有效性取决于所用哈希算法的复杂性（这不是漏洞本身，但会影响破解哈希的难度）以及生成的盐值的质量。缺乏密码学安全的随机数源会使盐值更具可预测性，从而促进攻击。
Applications and systems that utilize the Apache::API::Password Perl module for password hashing, particularly those relying on older versions (0.0.0–0.5.2), are at risk. This includes web applications, scripting environments, and any system where user authentication is performed using this module.
• perl: Check installed version of Apache::API::Password using perl -V. If the version is less than 0.5.3, the system is vulnerable.
• perl: Verify the presence of Crypt::URandom and Bytes::Random::Secure modules using perl -MCrypt::URandom -e 'print @INC' and perl -MBytes::Random::Secure -e 'print @INC'. If either module is missing, the system may be vulnerable.
• perl: Inspect the code where Apache::API::Password is used to confirm that secure random number generators are being used for salt generation.
disclosure
漏洞利用状态
EPSS
0.05% (14% 百分位)
解决方案是将 Apache::API::Password 更新到 0.5.3 或更高版本。此版本通过确保使用密码学安全的随机数源（Crypt::URandom 或 Bytes::Random::Secure）来生成盐来修复漏洞。如果无法立即更新，请考虑评估迁移到更强大且广泛使用的密码哈希库。此外，审查密码策略并考虑实施多因素身份验证 (MFA) 以降低未经授权访问的风险至关重要，即使密码已被泄露。
Actualice a la versión 0.5.3 o superior de Apache::API::Password. Esta versión corrige la generación de números aleatorios inseguros para las sales de contraseñas, utilizando métodos criptográficamente seguros en lugar de la función `rand` de Perl.
漏洞分析和关键警报直接发送到您的邮箱。
“盐”是在对密码进行哈希之前添加到密码中的随机值。这使得每个哈希密码都是唯一的，即使两个用户具有相同的密码。这使得使用预计算的彩虹表来破解密码更加困难。
如果使用 Apache::API::Password 的易受攻击版本对密码进行哈希处理，则生成的盐可能是可预测的。这使得破解哈希更容易，但不能保证成功。
如果无法立即更新，请考虑评估迁移到更强大且广泛使用的密码哈希库，并考虑实施多因素身份验证 (MFA)。
更新后不需要更改密码，但作为预防措施，尤其是在怀疑密码可能已被泄露的情况下，建议这样做。
您可以使用命令 cpan list Apache::API::Password 来检查已安装的版本。如果版本早于 0.5.3，则您容易受到攻击。