Mobile-Menu

Bibliothekspaket Net::OAuth betroffen Enorm kritische Schwachstelle in Perl

Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

Vogel IT-Medien GmbH
Fsas Technologies GmbH
FAST LTA GmbH

Obwohl die Programmiersprache Perl größtenteils als veraltet gilt, haben sie viele Unternehmen bei Legacy-Systemen im Einsatz. Eine unsichere Implementierung von OAuth führt nun dazu, dass Cyberkriminelle Zugriff auf sensible Perl-Systeme erlangen könnten.

Im Net::OAuth::Client, der speziell für die Programmiersprache Perl entwickelt worden ist, findet sich eine kritische Sicherheitslücke.(Bild: Dall-E / KI-generiert)
Im Net::OAuth::Client, der speziell für die Programmiersprache Perl entwickelt worden ist, findet sich eine kritische Sicherheitslücke.
(Bild: Dall-E / KI-generiert)

Haben Sie noch Perl im Einsatz? Falls Sie die Programmiersprache noch aktiv für Webanwendungen nutzen oder Legacy-Systeme mit Perl verwenden, sollten Sie schnellstmöglich das Modul „Net:OAuth“ absichern, falls Sie das Protokoll nutzen.

Unsichere OAuth-Implementierung

Net::OAuth ist eine Open-Source-Bibliothek, die für die Implementierung des OAuth-Protokolls (Open Authorization) in Perl entwickelt wurde. Das Modul dient dazu, Authentifizierungs- und Autorisierungsprozesse zwischen Anwendungen abzusichern, ohne dass Zugangsdaten direkt geteilt werden müssen.

Die darin enthaltene Sicherheitslücke CVE-2025-22376 hat einen CVSS-Score von 9.8 und betrifft insbesondere die Komponente Net::OAuth::Client der Versionen vor 0.29. Hier finden Sie die aktuellste Version Net-OAuth-0.30. Das Risiko der Schwachstelle besteht darin, dass ein Cyberangreifer einen sogenannte Replay-Angriff ausführen könnte. Dabei fängt ein Angreifer eine legitime Anfrage ab und sendet sie später wiederholt an den eigentlichen Empfänger, um Zugriff auf eine bestimmte Ressource zu erhalten. Bei der unsicheren Implementierung von OAuth in Perl wird standardmäßig ein 32-Bit-Integer verwendet, der mit der eingebauten rand()-Funktion generiert wird. Doch diese Methode liefert vorhersehbare Zufallszahlen, sogenannte Nonces, die von Kriminelle abgefangen werden können.

Warum sind Legacy-Systeme besonders gefährdet?

Sicherheitslücken in Versionen von alten Programmiersprachen sind interessante Ziele für Cyberkriminelle. Dafür gibt es mehrere Gründe. Zum einen gibt es für veraltete Programmiersprachen wie Perl nur noch wenige Entwickler, die sie beherrschen. Somit haben Unternehmen oft Schwierigkeiten damit, ihre Altsysteme zu warten, die auf diesen Sprachen basieren, oder Sicherheitslücken zu finden und zu beheben, die in ihren Komponenten auftreten. Zum anderen gibt es für veraltete Programmiersprachen oft keinen aktiven Support mehr und ihr Code ist häufig nur spärlich dokumentiert, was Cyberkriminellen ihre Arbeit erleichtert.

Zu guter Letzt können durch die Integration von Legacy-Systemen – die häufig auf älteren Programmiersprachen basieren – in moderne Software aufgrund unsicherer Schnittstellen Schwachstellen entstehen. Da viele Legacy-Systeme kritische Geschäftsprozesse steuern, ist es für Unternehmen jedoch schwer, sie abzuschalten oder umfassend zu modernisieren, was den Angreifern ebenfalls in die Karten spielt.

(ID:50278907)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte