因此，它受到 ALAS2023-2025-1156 公告中提及的一个漏洞影响。

    适用于 Perl 的 Authen::SASL::Perl::DIGEST_MD5 版本 2.04 到 2.1800 不安全地生成 cnonce。

    cnonce客户端临时信息是根据 PID 的 MD5 哈希、纪元时间和内置 rand 函数生成的。如果未从 HTTP 日期标头泄漏PID 将来自一小组数字并且可以猜测epoch 时间。内置 rand 函数不适合用于加密用途。

    根据 RFC 2831cnonce 值是客户端提供的不透明引用的字符串值客户端和服务器都使用它来避免选择明文攻击并提供相互认证。实现的安全性取决于正确的选择。建议其包含至少 64 位的熵。 (CVE-2025-40918)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2023 perl-Authen-SASLALAS2023-2025-1156

medium Nessus 插件 ID 261742

版本 1.1