Date-Manip: ineffizienter regulärer Ausdruck (ReDoS) (CVE-2026-60075)

Was ist betroffen, was ist zu tun

Versionen von Date::Manip bis einschließlich 6.99 für Perl ermöglichen eine CPU-Auslastung durch quadratisches Backtracking bei der ungebundenen Zeitersetzungen in _parse_time. _parse_time entfernt eine Zeit aus beliebiger Position im String mit der ungebundenen Substitution `s/$timerx/ /`, wobei $timerx ein automatisch generiertes Alternativmuster von Zeitmustern ist, das durch einen führenden `(?:$atrx|^|\s+)` erreicht wird. Der Motor versucht daher den Match an jeder Position einer internen Leerzeichenfolge erneut: Bei jedem Startposition konsumiert der führende `\s+` den Rest der Folge gierig, das Zeitalternativmuster scheitert, weil die Folge keine Ziffern enthält, und der Motor backt ein Leerzeichen nach dem anderen über die Folge zurück, bevor er die Startposition vorwärts verschiebt, was quadratisch zur Länge der Folge ist.

Die vorliegenden Quellen nennen keine Fix-Version. Prüfen Sie die Herstellerhinweise in den Referenzen unten.

Betroffen

• Date-Manip lte *..7.00

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Hohe technische Schwere: Bewerten und beheben Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 und dokumentieren Sie die Entscheidung.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Versionen von Date::Manip bis einschließlich 6.99 für Perl ermöglichen eine CPU-Auslastung durch quadratisches Backtracking bei der ungebundenen Zeitersetzungen in _parse_time. _parse_time entfernt eine Zeit aus beliebiger Position im String mit der ungebundenen Substitution `s/$timerx/ /`, wobei $timerx ein automatisch generiertes Alternativmuster von Zeitmustern ist, das durch einen führenden `(?:$atrx|^|\s+)` erreicht wird. Der Motor versucht daher den Match an jeder Position einer internen Leerzeichenfolge erneut: Bei jedem Startposition konsumiert der führende `\s+` den Rest der Folge gierig, das Zeitalternativmuster scheitert, weil die Folge keine Ziffern enthält, und der Motor backt ein Leerzeichen nach dem anderen über die Folge zurück, bevor er die Startposition vorwärts verschiebt, was quadratisch zur Länge der Folge ist. Es muss kein Zeitstempel im String vorhanden sein, um dies zu verursachen; nur eine lange Leerzeichenfolge reicht aus, und die Parse-Zeit steigt etwa vierfach für jede Verdopplung der Folge: Einige Kilobytes an Leerzeichen kosten Sekunden CPU pro Analyse und Zehnerkilobytes Minuten. Jeder Aufrufer, der einen nicht vertrauenswürdigen String unbegrenzter Länge an ParseDate(), Date::Manip::Date->parse() oder ->parse_time() übergibt, kann dazu gebracht werden, bei einer einzelnen Analyse eine unbegrenzte CPU-Auslastung zu erzeugen, was einen Denial-of-Service darstellt.

Quelle: BSI CSAF, BSI WID Portal, suse_csaf, cvelistv5, NVD (NIST), CVE.org (MITRE)

Weakness-Klassen (CWE)

• CWE-1333Inefficient Regular Expression Complexity

  Base

  The product uses a regular expression with a worst-case computational complexity that is inefficient and possibly exponential.

  Eintrag bei MITRE CWE-1333

Quellen & Referenzen

• security.metacpan.orgpatches/D/Date-Manip/6.99/CVE-2026-60075-r1.patchPatch
• metacpan.orgrelease/SBECK/Date-Manip-6.99/source/lib/Date/Manip/Date.pm
• metacpan.orgrelease/SBECK/Date-Manip-6.99/source/lib/Date/Manip/Date.pm
• github.comSBECK-github/Date-Manip/pull/55Issue-Tracker
• openwall.comlists/oss-security/2026/07/30/20

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE – Reanalyses, CVSS-Updates, CPE-Diffs.

1. CVE Modified21.08.20269b29abf9-4ab0-4765-b253-1875cd9b441e

   • Reference: nachher https://github.com/SBECK-github/Date-Manip/pull/55
   • Affected: vorher Date::Manip nachher …

2. CVE Modified31.07.2026134c704f-9b21-4f2e-91b3-4a467353bcc0

   • CVSS V3.1: nachher AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
   • SSVC: nachher {"id":"CVE-2026-60075","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"yes"},{"technical…

3. New CVE Received30.07.20269b29abf9-4ab0-4765-b253-1875cd9b441e

   • Affected: nachher Date::Manip
   • Description: nachher Date::Manip versions through 6.99 for Perl allow CPU exhaustion via quadratic backtracking in the unanchored time substitution in _parse_time. _parse_time removes a time from anywhere in the string with the unanchored substitution `s/$timerx/ /`, where $timerx is an auto-generated alternation of time patterns reached through a leading `(?:$atrx|^|\s+)`. The engine therefore retries the match at every position of an interior whitespace run: at each start position the leading `\s+` consumes the rest of the run greedily, the time alternation fails because the run holds no digits, and the engine backtracks a space at a time across the run before advancing the start position, which is quadratic in the length of the run. No time need be present in the string for this to happen, only a long run of whitespace, and the parse time rises about fourfold for each doubling of the run: a few kilobytes of whitespace costs seconds of CPU per parse and tens of kilobytes costs minutes. Any caller that passes an untrusted string of unbounded length to ParseDate(), Date::Manip::Date->parse() or ->parse_time() can be made to spend unbounded CPU in a single parse, a denial of service.
   • CWE: nachher CWE-1333
   • Reference: nachher https://metacpan.org/release/SBECK/Date-Manip-6.99/source/lib/Date/Manip/Date.pm#L1526