Vulnerabilidad en Net::OAuth versions (CVE-2026-75589)
Gravedad CVSS v3.1:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
19/08/2026
Última modificación:
27/10/2026
Descripción
Las versiones de Net::OAuth anteriores a la 0.33 para Perl verifican las firmas HMAC-SHA1, HMAC-SHA256 y PLAINTEXT con una comparación de tiempo no constante en verify.<br />
<br />
Cada una de las tres compara la firma contenida en el mensaje con la calculada localmente mediante el operador eq, el cual devuelve un resultado tan pronto como las dos cadenas difieren. El tiempo que se tarda en rechazar una firma varía con la longitud del prefijo coincidente. RSA-SHA1 no se ve afectado, ya que verifica a través del objeto de clave RSA en lugar de comparar cadenas.<br />
<br />
Un cliente que puede enviar mensajes y medir el tiempo de las respuestas puede recuperar una firma válida un byte a la vez en lugar de buscar en todo el espacio de firmas. Bajo PLAINTEXT, el valor con el que se compara es la propia clave de firma, por lo que la búsqueda recupera consumer_secret y token_secret.
Impacto
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA