Cpanel::JSON::XS: Speicherleck in encode_stringify

Zusammenfassung

Das Perl-Modul Cpanel::JSON::XS leckt Speicher in encode_stringify, wenn es überladene Objekte als Zeichenketten kodiert, unter allow_stringify, convert_blessed oder allow_bignum. Betroffene Objekte und alles, was sie referenzieren, werden nie freigegeben, daher lässt wiederholtes Kodieren solcher Daten den Speicherbedarf des Prozesses unbegrenzt wachsen. Die Auswirkung ist Denial of Service durch Speichererschöpfung; eine Beeinträchtigung der Vertraulichkeit oder Integrität wird nicht beschrieben, und es ist keine Ausnutzung bekannt.

Betroffen

• Cpanel::JSON::XS ab 3.0202 vor 4.80 (Bereich der CNA)
• Abweichende Bereiche in Sekundärquellen (z. B. 4.00 bis 4.80, Debian 4.35 bis 4.39); gegen die installierte Version prüfen

Behoben in

• Cpanel::JSON::XS 4.80 oder neuer
• Distributionspakete: die korrigierte Paketversion des Herstellers prüfen, da sie hier nicht bestätigt ist

Umgehung

• Kein vom Hersteller dokumentierter Workaround.
• Ein Neustart langlaufender Perl-Prozesse, die solche Daten kodieren, begrenzt das Speicherwachstum (Schlussfolgerung, nicht aus einer Quelle).

Ausnutzung

• Keine bekannte Ausnutzung.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
• Nicht in der CISA KEV gelistet; EPSS unter 1 Prozent.
• Kein öffentlicher Proof-of-Concept gefunden; der Fix-Commit ist öffentlich.

Unsere Empfehlung

• Hosts mit Perl-Anwendungen ermitteln, die Cpanel::JSON::XS verwenden (Webanwendungen, CGI, Skripte, Tooling).
• Das Modul auf 4.80 oder neuer aktualisieren oder das korrigierte Paket der Distribution installieren.
• Aus dem Internet erreichbare Perl-Anwendungen priorisieren und den Speicherbedarf langlaufender Prozesse überwachen.
• Den CVSS-Score prüfen, sobald NVD die Analyse abgeschlossen hat; die Beschreibung deutet nur auf eine Beeinträchtigung der Verfügbarkeit hin.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fix commit (patch) github.com
• Cpanel-JSON-XS 4.80 changelog metacpan.org
• OSV: CVE-2026-110684 osv.dev
• oss-security advisory seclists.org
• SUSE CVE page www.suse.com
• Cpanel::JSON::XS on MetaCPAN metacpan.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:44.