It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2025-985 advisory.

    Mojolicious versions from 0.999922 through 9.39 for Perl uses a hard coded string, or the application's     class name, as a HMAC session secret by default.

    These predictable default secrets can be exploited to forge session cookies. An attacker who knows or     guesses the secret could compute valid HMAC signatures for the session cookie, allowing them to tamper     with or hijack another user's session. (CVE-2024-58134)

    Mojolicious versions from 7.28 through 9.39 for Perl may generate weak HMAC session secrets.

    When creating a default app with the mojo generate app tool, a weak secret is written to the     application's configuration file using the insecure rand() function, and used for authenticating and     protecting the integrity of the application's sessions. This may allow an attacker to brute force the     application's session keys.++6330 (CVE-2024-58135)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Mojolicious versions from 7.28 through 9.40 for Perl may generate weak HMAC session secrets. When creating     a default app with the mojo generate app tool, a weak secret is written to the application's     configuration file using the insecure rand() function, and used for authenticating and protecting the     integrity of the application's sessions. This may allow an attacker to brute force the application's     session keys. (CVE-2024-58135)

Note that Nessus relies on the presence of the package as reported by the vendor.

したがって、ALAS2023-2025-985 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Perl 用の Mojolicious バージョン 0.999922 から 9.39 は、デフォルトで HMAC セッションシークレットとして、ハードコードされた文字列またはアプリケーションのクラス名を使用します。

    これらの予測可能なデフォルトシークレットが悪用されて、セッションクッキーが偽造される可能性があります。秘密を知っているまたは推測する攻撃者が、セッションクッキーのために有効な HMAC 署名を計算し、他のユーザーのセッションを改ざんしたりハイジャックしたりする可能性があります。CVE-2024-58134

    Perl 用の 7.28 から 9.39 のMojolicious バージョンは、脆弱な HMAC セッションシークレットを生成する可能性があります。

    mojo 生成アプリツールを使用してデフォルトのアプリを作成するとき、安全でない rand() 関数を使用してアプリケーションの構成ファイルに弱いシークレットが書き込まれ、アプリケーションのセッションの整合性を認証および保護するために使用されます。これにより、攻撃者がアプリケーションのセッションキーをブルートフォースできる可能性があります。++6330CVE-2024-58135

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 适用于 Perl 的 Mojolicious 7.28 至 9.40 版可能会生成弱 HMAC 会话密钥。当通过 mojo 生成应用程序工具创建默认应用程序时系统会使用不安全的 rand() 函数将弱密钥写入应用程序的配置文件中并用于认证和保护应用程序会话的完整性。这可能允许攻击者暴力破解应用程序的会话密钥。 (CVE-2024-58135)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Perl 用の 7.28 から 9.40 のMojolicious バージョンは、脆弱な HMAC セッションシークレットを生成する可能性があります。mojo 生成アプリツールを使用してデフォルトのアプリを作成するとき、安全でない rand() 関数を使用してアプリケーションの構成ファイルに弱いシークレットが書き込まれ、アプリケーションのセッションの整合性を認証および保護するために使用されます。これにより、攻撃者はアプリケーションのセッションキーをブルートフォースできる場合があります。CVE-2024-58135

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

因此，會受到 ALAS2023-2025-985 公告中所提及的多個弱點影響。

    Perl 的 0.999922 至 9.39 版本的 Mojolicious 依預設使用硬式編碼字串或應用程式的類別名稱作為 HMAC 工作階段密碼。

    這些可預測的預設密碼可遭惡意利用來偽造工作階段 Cookie。知道或猜到密碼的攻擊者可計算工作階段 cookie 的有效 HMAC 簽章進而允許他們竄改或劫持其他使用者的工作階段。 (CVE-2024-58134)

     7.28 至 9.39 的 Perl 版本 Mojolicious 可能會產生弱式 HMAC 工作階段密碼。

    使用 mojo generate app 工具建立預設應用程式時系統會使用不安全的 rand() 函式將弱式密碼寫入應用程式的設定檔並用來驗證和保護應用程式工作階段的完整性。攻擊者可藉此暴力密碼破解應用程式的工作階段金鑰。++6330 (CVE-2024-58135)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，该软件受到 ALAS2023-2025-985 公告中提及的多个漏洞影响。

    适用于 Perl 的 0.999922 至 9.39 的Mojolicious 版本默认使用硬编码字符串或应用程序的类名称作为 HMAC 会话密钥。

    可利用这些可预测的默认密码伪造会话 Cookie。知道或猜测密码的攻击者可计算会话 cookie 的有效 HMAC 签名从而篡改或劫持其他用户的会话。 (CVE-2024-58134)

    适用于 Perl 的 7.28 到 9.39 版的 Mojolicious 可能会生成弱 HMAC 会话密钥。

    当通过 mojo 生成应用程序工具创建默认应用程序时系统会使用不安全的 rand() 函数将弱密钥写入应用程序的配置文件中并用于认证和保护应用程序会话的完整性。这可允许攻击者暴力破解应用程序的会话密钥。++6330 (CVE-2024-58135)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 從 7.28 到 9.40 的 Perl 版本 Mojolicious 可能會產生弱式 HMAC 工作階段密碼。使用 mojo generate app 工具建立預設應用程式時系統會使用不安全的 rand() 函式將弱式密碼寫入應用程式的設定檔並用來驗證和保護應用程式工作階段的完整性。攻擊者可藉此暴力密碼破解應用程式的工作階段金鑰。 (CVE-2024-58135)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
237678	Amazon Linux 2023 : perl-Mojolicious, perl-Test-Mojo (ALAS2023-2025-985)	Nessus	Amazon Linux Local Security Checks	2025/6/2	2025/6/2	high
257977	Linux Distros Unpatched Vulnerability : CVE-2024-58135	Nessus	Misc.	2025/8/27	2025/9/4	medium
237678	Amazon Linux 2023perl-Mojolicious、perl-Test-MojoALAS2023-2025-985	Nessus	Amazon Linux Local Security Checks	2025/6/2	2025/6/2	high
257977	Linux Distros 未修补的漏洞：CVE-2024-58135	Nessus	Misc.	2025/8/27	2025/9/4	medium
257977	Linux Distros のパッチ未適用の脆弱性: CVE-2024-58135	Nessus	Misc.	2025/8/27	2025/9/4	medium
237678	Amazon Linux 2023perl-Mojolicious、perl-Test-Mojo (ALAS2023-2025-985)	Nessus	Amazon Linux Local Security Checks	2025/6/2	2025/6/2	high
237678	Amazon Linux 2023perl-Mojolicious、perl-Test-MojoALAS2023-2025-985	Nessus	Amazon Linux Local Security Checks	2025/6/2	2025/6/2	high
257977	Linux Distros 未修補的弱點：CVE-2024-58135	Nessus	Misc.	2025/8/27	2025/9/4	medium

検出

プラグインの検索

high

medium

high

medium

medium

high

high

medium