Text-CSV_XS: Use-after-free bei gebundenen Variablen in skip_empty_rows

Zusammenfassung

Text::CSV_XS für Perl gibt eine mit bind_columns gebundene Variable frei, wenn skip_empty_rows eine leere Zeile überspringt, im Modus 'skip' bei einer abschliessenden leeren Zeile oder im Modus 'eof' bei jeder leeren Zeile. Die Anwendung referenziert die Variable weiterhin, daher greift späterer Code auf freigegebenen Speicher zu, was zu einem Absturz des Prozesses führen kann. Der CNA bewertet die Schwachstelle mit CVSS 9.8 (kritisch), die beschriebene Auswirkung ist jedoch ein Absturz, und es wurde keine Ausnutzung gemeldet.

Betroffen

• Text-CSV_XS für Perl, Versionen 1.46 bis vor 1.65
• Betroffen sind nur Anwendungen, die bind_columns zusammen mit skip_empty_rows (skip oder eof) verwenden

Behoben in

• Text-CSV_XS 1.65 oder neuer
• Versionen von Distributionspaketen müssen separat geprüft werden, da sie von den Upstream-Versionen abweichen können

Umgehung

• Kein Workaround des Herstellers. Die Behebung ist das Upgrade auf 1.65 oder neuer.
• Übergangsmassnahme (nicht vom Hersteller): Bis zum Upgrade die Kombination von skip_empty_rows mit bind_columns vermeiden und interne Skripte auf diese Kombination prüfen

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total
• Zum Zeitpunkt der Erstellung ist keine Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept bekannt
• Der Fix-Commit ist öffentlich

Unsere Empfehlung

• Perl-Anwendungen inventarisieren, die Text::CSV_XS verwenden, insbesondere solche mit bind_columns oder skip_empty_rows
• Auf Text-CSV_XS 1.65 oder neuer aktualisieren oder auf ein Distributionspaket mit dem Fix wechseln
• Anwendungen priorisieren, die CSV aus unvertrauenswürdigen Quellen verarbeiten, etwa Uploads oder Importe aus dem Internet
• Nach dem Upgrade geplante Jobs auf Abstürze überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CPAN Security Group advisory (oss-security) www.openwall.com
• Text-CSV_XS 1.65 changelog metacpan.org
• Fix commit f082d5c8 (patch) github.com
• OSV: CVE-2026-110753 osv.dev
• Ubuntu security status CVE-2026-110753 ubuntu.com
• Mageia advisory MGASA-2026-0563 vulners.com
• Tenable CVE-2026-110753 www.tenable.com
• OSV: Azure Linux AZL-109748 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:35.