したがって、ALAS2023-2026-3209 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Mojo::JSON の 9.47 Perl より前のバージョンでは、pure-Perl デコーダーの無限再帰によるメモリ枯渇が発生する可能性があります。

    pure-Perl デコードパス(「_decode_array」および「_decode_object」への「_decode_value」ディスパッチ)は深さ制限なしで再帰するため、小さく深くネスト化された JSON ドキュメントが過剰なメモリを消費する可能性があります。

    このパスは、Cpanel::JSON::XS がインストールされていないか、「MOJO_NO_JSON_XS=1」が設定されている場合のデフォルトです。Cpanel::JSON::XS ファストパスは影響を受けません。

    信頼できない JSON 本文(たとえば、「Mojo::Message::json」など)をデコードする呼び出し元が「$c->req->json」を通じて到達し、プロセスメモリを使い果たし、サービス拒否を引き起こす可能性があります。(CVE-2026-14803)

    Perl 用の 9.48 より前の 4.59 からの Mojolicious バージョンが、セッション CSRF トークンの安定した表現を BREACH 圧縮オラクルにさらします。

    _csrf_token は、セッションごとに 1 つのトークンを生成してキャッシュし、すべての呼び出しで同じ値を返します。
    _csrf_field は、非表示の「csrf_token」入力にその値を配置します。トークンを運ぶ応答が攻撃者の制御する入力もエコーし、gzip 圧縮されている場合、選択された値と結果として生じる圧縮された長さが BREACH オラクルを形成します。

    これにクエリが可能な攻撃者が、トークンを復元し、csrf_protect検証に合格する可能性があります。(CVE-2026-15747)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

2023 Amazon Linux:perl-Mojolicious、perl-Test-Mojo(ALAS2023-2026-3209)

critical Nessus プラグイン ID 365250

バージョン 1.1