因此，该软件受到 ALAS2023-2025-985 公告中提及的多个漏洞影响。

    适用于 Perl 的 0.999922 至 9.39 的Mojolicious 版本默认使用硬编码字符串或应用程序的类名称作为 HMAC 会话密钥。

    可利用这些可预测的默认密码伪造会话 Cookie。知道或猜测密码的攻击者可计算会话 cookie 的有效 HMAC 签名从而篡改或劫持其他用户的会话。 (CVE-2024-58134)

    适用于 Perl 的 7.28 到 9.39 版的 Mojolicious 可能会生成弱 HMAC 会话密钥。

    当通过 mojo 生成应用程序工具创建默认应用程序时系统会使用不安全的 rand() 函数将弱密钥写入应用程序的配置文件中并用于认证和保护应用程序会话的完整性。这可允许攻击者暴力破解应用程序的会话密钥。++6330 (CVE-2024-58135)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，會受到 ALAS2023-2025-985 公告中所提及的多個弱點影響。

    Perl 的 0.999922 至 9.39 版本的 Mojolicious 依預設使用硬式編碼字串或應用程式的類別名稱作為 HMAC 工作階段密碼。

    這些可預測的預設密碼可遭惡意利用來偽造工作階段 Cookie。知道或猜到密碼的攻擊者可計算工作階段 cookie 的有效 HMAC 簽章進而允許他們竄改或劫持其他使用者的工作階段。 (CVE-2024-58134)

     7.28 至 9.39 的 Perl 版本 Mojolicious 可能會產生弱式 HMAC 工作階段密碼。

    使用 mojo generate app 工具建立預設應用程式時系統會使用不安全的 rand() 函式將弱式密碼寫入應用程式的設定檔並用來驗證和保護應用程式工作階段的完整性。攻擊者可藉此暴力密碼破解應用程式的工作階段金鑰。++6330 (CVE-2024-58135)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

The remote Fedora 41 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2025-c38fd06bec advisory.

    Mojolicious versions from 0.999922 through 9.39 for Perl uses a hard coded string, or the application's     class name, as a HMAC session secret by default.

    Mojolicious  9.39 added EXPERIMENTAL support for encrypted session cookies. This feature is much more     secure than signed cookies and can be enabled by installing CryptX and setting the encrypted attribute.

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2025-985 advisory.

    Mojolicious versions from 0.999922 through 9.39 for Perl uses a hard coded string, or the application's     class name, as a HMAC session secret by default.

    These predictable default secrets can be exploited to forge session cookies. An attacker who knows or     guesses the secret could compute valid HMAC signatures for the session cookie, allowing them to tamper     with or hijack another user's session. (CVE-2024-58134)

    Mojolicious versions from 7.28 through 9.39 for Perl may generate weak HMAC session secrets.

    When creating a default app with the mojo generate app tool, a weak secret is written to the     application's configuration file using the insecure rand() function, and used for authenticating and     protecting the integrity of the application's sessions. This may allow an attacker to brute force the     application's session keys.++6330 (CVE-2024-58135)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Fedora 41 ホストには、FEDORA-2025-c38fd06bec のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Perl 用の Mojolicious バージョン 0.999922 から 9.39 は、デフォルトで HMAC セッションシークレットとして、ハードコードされた文字列またはアプリケーションのクラス名を使用します。

    Mojolicious 9.39 は暗号化されたセッションクッキーに対するEXPERIMENTAL サポートを追加しました。この機能は署名付きクッキーよりもはるかに安全で、CryptX をインストールして暗号化属性を設定することで有効にできます。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2025-985 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Perl 用の Mojolicious バージョン 0.999922 から 9.39 は、デフォルトで HMAC セッションシークレットとして、ハードコードされた文字列またはアプリケーションのクラス名を使用します。

    これらの予測可能なデフォルトシークレットが悪用されて、セッションクッキーが偽造される可能性があります。秘密を知っているまたは推測する攻撃者が、セッションクッキーのために有効な HMAC 署名を計算し、他のユーザーのセッションを改ざんしたりハイジャックしたりする可能性があります。CVE-2024-58134

    Perl 用の 7.28 から 9.39 のMojolicious バージョンは、脆弱な HMAC セッションシークレットを生成する可能性があります。

    mojo 生成アプリツールを使用してデフォルトのアプリを作成するとき、安全でない rand() 関数を使用してアプリケーションの構成ファイルに弱いシークレットが書き込まれ、アプリケーションのセッションの整合性を認証および保護するために使用されます。これにより、攻撃者がアプリケーションのセッションキーをブルートフォースできる可能性があります。++6330CVE-2024-58135

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
237678	Amazon Linux 2023perl-Mojolicious、perl-Test-MojoALAS2023-2025-985	Nessus	Amazon Linux Local Security Checks	2025/6/2	2025/6/2	high
237678	Amazon Linux 2023perl-Mojolicious、perl-Test-Mojo (ALAS2023-2025-985)	Nessus	Amazon Linux Local Security Checks	2025/6/2	2025/6/2	high
236992	Fedora 41 : perl-Mojolicious (2025-c38fd06bec)	Nessus	Fedora Local Security Checks	2025/5/21	2025/5/21	high
237678	Amazon Linux 2023 : perl-Mojolicious, perl-Test-Mojo (ALAS2023-2025-985)	Nessus	Amazon Linux Local Security Checks	2025/6/2	2025/6/2	high
236992	Fedora 41perl-Mojolicious2025-c38fd06bec	Nessus	Fedora Local Security Checks	2025/5/21	2025/5/21	high
237678	Amazon Linux 2023perl-Mojolicious、perl-Test-MojoALAS2023-2025-985	Nessus	Amazon Linux Local Security Checks	2025/6/2	2025/6/2	high

检测

插件搜索

high

high

high

high

high

high