Perl ExtUtils::Typemaps::Default: Lesezugriff ausserhalb des Speicherbereichs im T_STD_STRING-Typemap

Zusammenfassung

ExtUtils::Typemaps::Default vor Version 1.06 erzeugt Code für den T_STD_STRING-Typemap, der die Länge eines Perl-Skalars lesen kann, bevor er in einen String umgewandelt wird. Wenn das Argument kein String ist, zum Beispiel eine Zahl oder eine Referenz, kann die gelesene Länge ungültig sein. Dadurch kann das betroffene Programm abbrechen oder abstürzen. Das Problem wird ausgelöst, wenn solche Werte an XS-Funktionen gelangen, die mit diesem Typemap erstellt wurden; die Exposition hängt daher von der eingesetzten Software ab, die Auswirkung betrifft hauptsächlich die Verfügbarkeit.

Betroffen

• ExtUtils::Typemaps::Default-Versionen vor 1.06
• Perl-XS-Module, die mit einer betroffenen Version erstellt wurden

Behoben in

• Version 1.06 oder neuer

Umgehung

• Für Systeme, die nicht aktualisiert werden können, ist kein Workaround des Herstellers dokumentiert.
• Stellen Sie sicher, dass Argumente, die an betroffene Module übergeben werden, Strings sind, oder prüfen Sie die Argumenttypen vor dem Aufruf.

Ausnutzung

• Keine bekannte Ausnutzung.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.

Unsere Empfehlung

• Ermitteln Sie Perl-Installationen und XS-Module, die ExtUtils::Typemaps::Default verwenden, einschliesslich eigener Software.
• Aktualisieren Sie auf Version 1.06 oder neuer und erstellen Sie abhängige Module neu.
• Installieren Sie die Distributions-Updates für vom Betriebssystem verwaltete Perl-Pakete.
• Wo kein Patch möglich ist, prüfen Sie die Eingabetypen, bevor sie die betroffenen Funktionen erreichen.
• Der CVSS-Wert 9.1 ist umstritten (Ubuntu stuft ihn als niedrig ein), priorisieren Sie daher nach der tatsächlichen Exposition.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Upstream commit a6b9c298 github.com
• MetaCPAN changelog ExtUtils-Typemaps-Default 1.06 metacpan.org
• Ubuntu security notice CVE-2026-107373 ubuntu.com
• OSV CVE-2026-107373 osv.dev
• Rapid7 Vulners CVE-2026-107373 vulners.com
• DevGuard vulnerability database CVE-2026-107373 docs.devguard.org
• CPAN RT bug 94110 rt.cpan.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:00.