🇰🇷 한글 설명
PAGI::Middleware::Session::Store::Cookie 0.001003 이하 버전에서 난수를 보안에 취약한 방식으로 생성하는 결함이 발견되었습니다. /dev/urandom 읽기에 실패할 경우 암호학적으로 안전하지 않은 rand 함수를 사용하여 쿠키 암호화용 초기화 벡터(IV)를 생성합니다. 이로 인해 공격자가 세션 데이터를 복호화하거나 변조할 위험이 있습니다.
💡 쉬운 설명
웹사이트의 로그인 정보를 보호하는 암호 키를 만들 때, 예측하기 쉬운 숫자를 사용하여 보안이 약해진 상태입니다. 해커가 이 숫자를 예측하면 사용자의 세션 정보를 훔치거나 조작할 수 있습니다.
🇺🇸 원문 (English)
PAGI::Middleware::Session::Store::Cookie versions through 0.001003 for Perl generates random bytes insecurely.
PAGI::Middleware::Session::Store::Cookie attempts to read bytes from the /dev/urandom device directly. If that fails (for example, on systems without the device, such as Windows), then it will emit a warning that recommends the user install Crypt::URandom, and then return a string of random bytes generated by the built-in rand function, which is unsuitable for cryptographic applications.
This modules does not use the Crypt::URandom module, and installing it will not fix the problem.
The random bytes are used for generating an initialisation vector (IV) to encrypt the cookie.
A predictable IV may make it easier for malicious users to decrypt and tamper with the session data that is stored in the cookie.
📍 영향받는 시스템
PAGI::Middleware::Session::Store::Cookie versions through 0.001003
⚔️ 공격 벡터
예측 가능한 초기화 벡터(IV)를 이용한 쿠키 암호화 해제 및 세션 데이터 변조
🛡️ 대응 방법
해당 모듈을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.