Text::CSV_XS für Perl: Fehlerhafte Behandlung von CR am Ende gibt 0xFF-Byte aus
Zusammenfassung
Text::CSV_XS für Perl in Versionen vor 1.65 kann beim Parsen von Eingaben, die mit einem Trennzeichen gefolgt von einem einzelnen Wagenrücklauf (CR) enden, ein Byte 0xFF in das letzte Feld einfügen, das nicht in der Eingabe vorhanden ist. Im Binärmodus enthält das Feld das einzelne Byte, bei UTF-8-markierten Eingaben wird es zu ungültigem UTF-8. Ein Angreifer, der einer Anwendung mit diesem Modul CSV-Daten liefern kann, kann die geparsten Daten verfälschen, was Importe, Validierungen oder Abrechnungen beeinträchtigen kann; der CVSS-Vektor deutet darauf hin, dass keine Berechtigungen oder Benutzerinteraktion nötig sind, dies hängt jedoch davon ab, ob unvertrauenswürdige Eingaben den Parser erreichen.
Betroffen
- Text-CSV_XS für Perl in Versionen vor 1.65
Behoben in
- Text-CSV_XS 1.65 oder neuer (Upstream-Fix in Commit 7627f1a2)
- Distributionspakete: Prüfen Sie den Advisory Ihrer Distribution, da sich der Status zwischen den Distributionen unterscheidet
Umgehung
- Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden.
- Empfehlung der Analysten: Nachgestellte CR-Zeichen vor dem Parsen aus der Eingabe entfernen und geparste Felder bis zur Behebung auf fehlerhafte 0xFF-Bytes prüfen.
Ausnutzung
- In keiner der geprüften Quellen wurde eine Ausnutzung in freier Wildbahn gemeldet.
- VulDB meldet, dass kein Exploit verfügbar ist, technische Details aber bekannt sind.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Erfassen Sie alle Perl-Systeme, die Text::CSV_XS verwenden, einschliesslich Kopien aus Betriebssystempaketen.
- Aktualisieren Sie Text::CSV_XS auf Version 1.65 oder neuer bzw. auf das gepatchte Paket Ihrer Distribution.
- Testen Sie CSV-Importjobs mit leeren letzten Feldern und CRLF-Eingaben.
- Priorisieren Sie aus dem Internet oder von Partnern erreichbare CSV-Importe.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Upstream fix commit 7627f1a2 (patch) github.com
- Text-CSV_XS 1.65 changes (MetaCPAN) metacpan.org
- CPAN Security Group announcement lists.security.metacpan.org
- Ubuntu security status ubuntu.com
- OSV Debian record osv.dev
- VulDB entry vuldb.com
- Tenable CVE record www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:34.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.