Cpanel::JSON::XS: Speicherleck, wenn eine THAW-Methode beim Decodieren abbricht

Zusammenfassung

Cpanel::JSON::XS für Perl vor Version 4.80 verursacht ein Speicherleck, wenn getaggte Werte mit allow_tags decodiert werden und die THAW-Methode der Klasse abbricht. Die decodierten Argumente werden in diesem Fall nicht freigegeben. Ein nicht authentifizierter Angreifer kann manipuliertes JSON an einen Dienst senden, der getaggte Werte decodiert, und die Menge des Speicherlecks bestimmt der Absender. Ein Prozess, der den Fehler abfängt und weiterläuft, kann dadurch irgendwann den Arbeitsspeicher erschöpfen. Der angegebene NVD-Score von 9.1 ist nicht verifiziert, da die NVD-Analyse noch aussteht. SUSE stuft die Schwachstelle mit 5.3 nur mit Auswirkung auf die Verfügbarkeit ein.

Betroffen

• Cpanel-JSON-XS-Versionen 0 bis vor 4.80 - Genaue korrigierte Pakete in Linux-Distributionen: Unbekannt. Prüfen Sie die Advisory Ihrer Distribution.

Behoben in

• Cpanel-JSON-XS 4.80 oder neuer (veröffentlicht am 2026-09-01) - Fix-Commit: 9ab010221c069a7af9ef7463454ecd3b8ace9c58

Umgehung

• Vom Hersteller ist keine Workaround-Massnahme dokumentiert. - Übergangslösung: allow_tags deaktiviert lassen, wenn Ihre Anwendung keine getaggten Werte benötigt. - Betriebliche Massnahme: Worker-Prozesse regelmässig neu starten, um das Speicherwachstum zu begrenzen (allgemeine Massnahme, keine Empfehlung des Herstellers).

Ausnutzung

• Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept gefunden. - CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise. - EPSS 0.00171 zum Zeitpunkt der Recherche.

Unsere Empfehlung

• Aktualisieren Sie Cpanel-JSON-XS auf 4.80 oder neuer bzw. auf das korrigierte Paket Ihrer Distribution. - Prüfen Sie, ob Perl-Dienste nicht vertrauenswürdiges JSON mit aktiviertem allow_tags decodieren, und deaktivieren Sie allow_tags, falls es nicht benötigt wird. - Überwachen Sie den Speicherverbrauch lang laufender Perl-Worker und starten Sie sie neu, wenn er stetig steigt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-110685 on OSV osv.dev
• Cpanel-JSON-XS 4.80 change log metacpan.org
• Cpanel-JSON-XS 4.80 release metacpan.org
• Fix commit 9ab010221c069a7af9ef7463454ecd3b8ace9c58 github.com
• SUSE CVE record www.suse.com
• SUSE CVE record via Vulners vulners.com
• OSV record via Vulners vulners.com
• OpenCVE entry app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:21.