Cpanel::JSON::XS: Use-after-free in Threads durch gemeinsam genutzte Perl-Skalare

Zusammenfassung

Cpanel::JSON::XS für Perl vor Version 4.80 kopiert ein Parser-Objekt in einen neuen ithread, ohne die Callback- und Puffer-Skalare des übergeordneten Interpreters zu duplizieren. Der Child-Thread verwendet und gibt dann Speicher frei, den der Parent möglicherweise bereits freigegeben hat. Dies kann zum Aufruf freigegebener Callbacks, zu fehlerhaften Referenzzählern und zum Absturz des Prozesses führen. Das Problem tritt auf, wenn ein Parser erstellt wird, bevor ein Thread startet, und innerhalb dieses Threads verwendet wird. Der CVSS-Vektor setzt niedrige Berechtigungen und keine Benutzerinteraktion voraus und bewertet die Auswirkungen auf Integrität und Verfügbarkeit als hoch.

Betroffen

• Cpanel-JSON-XS-Versionen 0 bis vor 4.80 (gemäss CVE-Eintrag)
• Nur Perl-Programme, die ithreads verwenden und ein vor dem Thread-Start erstelltes Parser-Objekt gemeinsam nutzen, sind betroffen

Behoben in

• Cpanel-JSON-XS 4.80 oder neuer

Umgehung

• Der Hersteller nennt keine Workaround-Massnahme. Ein Upgrade auf 4.80 oder neuer ist die einzige Abhilfe in den Quellen.
• Bis zum Upgrade den Parser innerhalb jedes Threads statt davor erstellen.
• Falls keine Threads benötigt werden, diese in der Anwendung deaktivieren.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• In den Quellen wird keine öffentliche Ausnutzung gemeldet.

Unsere Empfehlung

• Prüfen, ob Cpanel::JSON::XS installiert ist und welche Version verwendet wird, einschliesslich indirekter Nutzung über JSON.pm mit dem Cpanel-Backend.
• Auf Cpanel::JSON::XS 4.80 oder neuer aktualisieren oder ein Distributionspaket mit dem Fix einsetzen.
• Bis dahin das Teilen von Parser-Objekten über Thread-Erstellungen hinweg vermeiden und Abstürze der Anwendung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fix commit patch (GitHub) github.com
• Cpanel-JSON-XS 4.80 changes (MetaCPAN) metacpan.org
• OSV record CVE-2026-110681 osv.dev
• Cpanel-JSON-XS distribution (MetaCPAN) metacpan.org
• Vulners/MEND CVE-2026-110681 vulners.com
• Debian security tracker entry (OSV) osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:43.