Text::CSV_XS: Verlorenes Zeilenende und verlorene Datensatzenden bei print() mit ungültigem UTF-8

Zusammenfassung

Text::CSV_XS für Perl vor Version 1.65 kann die letzten Bytes eines Datensatzes, ein schliessendes Anführungszeichen und das Zeilenende verlieren, wenn bei print() ein als UTF-8 markiertes Feld vor ungültigen UTF-8-Bytes im letzten Feld steht. print() gibt dennoch true zurück, daher wird der Fehler nicht gemeldet. Der nächste Datensatz wird dann in dieselbe Zeile geschrieben, oder, wenn das letzte Feld in Anführungszeichen stand, führt das fehlende Anführungszeichen dazu, dass ein Leser alle folgenden Datensätze in ein einziges Feld zusammenfasst. Der CNA bewertet die Schwachstelle mit 9.8 (Critical), VulDB mit 5.5; die Auswirkung ist eine stille Datenverfälschung in CSV-Ausgaben und keine Codeausführung. combine() ist nicht betroffen.

Betroffen

• Text-CSV_XS für Perl, alle Versionen vor 1.65 (Angabe des CNA; VulDB nennt bis 1.64)
• Das Azure-Linux-Paket führt Versionen bis 1.60-1 als betroffen auf

Behoben in

• Text-CSV_XS 1.65 oder neuer
• Mageia 10: perl-Text-CSV_XS 1.650.0-1.mga10 oder neuer
• Fedora 43 und 44: Updates laut Tenable verfügbar; genaue Paketversionen sind in den Fedora-Advisories zu prüfen
• Debian, Ubuntu, RHEL und SUSE: genaue Paketversionen nicht verifiziert; die Advisories der Hersteller prüfen

Umgehung

• Kein Workaround des Herstellers bekannt. Das Aktualisieren ist die zuverlässige Massnahme.
• Bis zur Aktualisierung Zeichenketten vor print() strikt auf gültiges UTF-8 prüfen und ungültige Byte-Folgen in nicht vertrauenswürdigen Feldern ablehnen oder korrigieren (nicht getestet).
• Erzeugte CSV-Dateien auf fehlende Zeilenenden oder nicht geschlossene Anführungszeichen prüfen. Dies erkennt das Problem, verhindert es aber nicht.

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. Öffentlicher Exploit-Code: keiner gefunden.

Unsere Empfehlung

• Text-CSV_XS auf 1.65 oder neuer aktualisieren oder das korrigierte Distributionspaket installieren, auf allen Systemen, die CSV-Ausgaben mit print() erzeugen.
• Perl-Skripte und Anwendungen identifizieren, die Text::CSV_XS print() mit dekodierten und nicht dekodierten Feldern im selben Datensatz verwenden.
• Bestehende CSV-Exporte auf fehlende Zeilenenden oder nicht geschlossene Anführungszeichen prüfen und betroffene Dateien neu erzeugen.
• Bis zur vollständigen Aktualisierung nach Prüfung der Ausgabe in der eigenen Umgebung nach Möglichkeit combine() verwenden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Upstream commit fixing CVE-2026-110756 github.com
• Text-CSV_XS 1.65 changelog (MetaCPAN) metacpan.org
• OSV entry CVE-2026-110756 osv.dev
• Ubuntu security notice CVE-2026-110756 ubuntu.com
• VulDB entry 421528 vuldb.com
• oss-security mailing list post www.openwall.com
• Mageia advisory MGASA-2026-0563 vulners.com
• EUVD-2026-103196 (Fedora updates) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:35.