Все бюллетени/sisyphus/ALT-PU-2026-18173-2
ALT-PU-2026-18173-2

Обновление пакета perl-Crypt-DSA в ветке sisyphus

Версия1.24-alt1
Задание#436612
Опубликовано2026-10-12
Макс. серьёзностьCRITICAL
Серьёзность:

Закрытые проблемы (8)

BDU:2026-15254
CRITICAL9.1

Уязвимость пакета цифровой подписи DSA языка Perl perl-Crypt-DSA, связанная с атакуемой поверхностью, чье количественное измерение превышает желаемый максимум, позволяющая нарушителю оказать воздействие на конфиденциальность защищаемой информации

Опубликовано: 2026-09-24
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CVSS 2.0КРИТИЧЕСКАЯ 9.4
CVSS:2.0/AV:N/AC:L/Au:N/C:C/I:C/A:N
Ссылки
BDU:2026-15259
HIGH7.5

Уязвимость пакета цифровой подписи DSA языка Perl perl-Crypt-DSA, связанная с использованием недостаточно случайных значений, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации

Опубликовано: 2026-09-24
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS 2.0ВЫСОКАЯ 7.8
CVSS:2.0/AV:N/AC:L/Au:N/C:C/I:N/A:N
Ссылки
BDU:2026-15426
HIGH7.3

Уязвимость пакета цифровой подписи DSA языка Perl perl-Crypt-DSA, связанная с недостаточной энтропией, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2026-09-24
CVSS 3.xВЫСОКАЯ 7.3
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
CVSS 2.0ВЫСОКАЯ 7.5
CVSS:2.0/AV:N/AC:L/Au:N/C:P/I:P/A:P
Ссылки
BDU:2026-15427
MEDIUM6.5

Уязвимость пакета цифровой подписи DSA языка Perl perl-Crypt-DSA, связанная с использованием файлов и каталогов, доступных внешним сторонам, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации

Опубликовано: 2026-09-24
CVSS 3.xСРЕДНЯЯ 6.5
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
CVSS 2.0СРЕДНЯЯ 6.4
CVSS:2.0/AV:N/AC:L/Au:N/C:P/I:P/A:N
Ссылки
CVE-2026-12205
CRITICAL9.1

Crypt::DSA versions before 1.21 for Perl reused the nonce across signatures, leading to private-key recovery. Crypt::DSA::sign caches the per-signature nonce material in the Key object without ever clearing it. The first sign() on a Key object picks a nonce, and every later sign() on that same object reuses it, producing an identical "r". Keys used to sign more than once with an affected version should be considered compromised.

Опубликовано: 2026-06-15Изменено: 2026-06-17
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Ссылки
CVE-2026-14570
HIGH7.5

Crypt::DSA versions before 1.22 for Perl draw the DSA signing nonce and private key from a biased random generator, leading to private-key recovery. "Crypt::DSA::Util::makerandom forces the high bit of every value it returns to obtain an exactly N-bit integer for prime search. The signing nonce and the private key are drawn from makerandom. Because the high bit is always set, the result is not uniform: its top bit is fixed, producing insecure values." An attacker who collects a modest number of signatures under an affected key, together with the public key, can recover the private key with a lattice attack. Keys used to sign with an affected version should be considered compromised and new keys should be generated.

Опубликовано: 2026-07-04Изменено: 2026-07-06
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Ссылки
CVE-2026-8700
HIGH7.3

Crypt::DSA versions before 1.20 for Perl generate seeds using rand. Seeds were generated using Perl's built-in rand function, which is predictable and unsuitable for security usage.

Опубликовано: 2026-05-15Изменено: 2026-06-17
CVSS 3.xВЫСОКАЯ 7.3
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
Ссылки
CVE-2026-8704
MEDIUM6.5

Crypt::DSA versions through 1.19 for Perl use 2-args open, allowing existing files to be modified.

Опубликовано: 2026-05-15Изменено: 2026-06-17
CVSS 3.xСРЕДНЯЯ 6.5
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
Ссылки