Cpanel::JSON::XS: Akzeptieren von fehlerhaftem UTF-8 in Bare Hash Keys

Zusammenfassung

Cpanel::JSON::XS für Perl, Versionen 4.33 bis vor 4.80, akzeptiert fehlerhaftes UTF-8 und Steuerzeichen in Bare Hash Keys, wenn die nicht standardmässig aktivierten Optionen utf8 und allow_barekey eingeschaltet sind. Solche Schlüssel werden ungeprüft im dekodierten Hash gespeichert, während quotierte Schlüssel und Werte weiterhin validiert werden. Spätere Operationen auf diesen Schlüsseln, etwa lc, uc oder das erneute Kodieren des Hashes, scheitern mit einem Fehler wegen fehlerhaftem UTF-8, was eine Anwendung zum Absturz bringen oder stören und Daten beschädigen kann. Ausnutzung erfordert eine Anwendung, die nicht vertrauenswürdiges JSON mit diesen Optionen dekodiert.

Betroffen

• Cpanel-JSON-XS 4.33 bis vor 4.80 (Perl)
• Die Standardkonfiguration ist nicht betroffen.

Behoben in

• Cpanel-JSON-XS 4.80 oder neuer
• Gepatchte Paketversionen in den Distributionen: Unbekannt.

Umgehung

• Kein Workaround des Herstellers dokumentiert.
• allow_barekey in Anwendungen nicht aktivieren, die es nicht benötigen.

Ausnutzung

• Nicht als ausgenutzt bekannt.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.

Unsere Empfehlung

• Cpanel-JSON-XS auf 4.80 oder neuer aktualisieren oder das gepatchte Distributionspaket installieren.
• Perl-Anwendungen prüfen, ob utf8 zusammen mit allow_barekey verwendet wird, insbesondere solche, die externes JSON dekodieren.
• Als Übergangsmassnahme allow_barekey dort deaktivieren, wo es nicht benötigt wird.
• CVSS-Score in der NVD prüfen, sobald die Analyse abgeschlossen ist, da die Quellen voneinander abweichen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Vendor patch (commit) github.com
• Cpanel-JSON-XS 4.80 changelog metacpan.org
• SUSE CVE page www.suse.com
• Debian security tracker (OSV) osv.dev
• oss-sec posting seclists.org
• VulDB entry vuldb.com
• Cpanel-JSON-XS on MetaCPAN metacpan.org
• CVE record (OSV mirror) osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:42.