DBI: unsichere Reflection (CVE-2026-78030)

Was ist betroffen, was ist zu tun

In DBI-Versionen vor 1.653 für Perl können beliebige Module über die nicht validierten dbm_type- und dbm_mldbm-Attribute in DBD::DBM geladen werden. DBD::DBM übergibt die dbm_type- und dbm_mldbm-Verbindungsattribute an require, ohne zu überprüfen, ob der Wert einen Modulnamen angibt. require behandelt einen pfadähnlichen String als einen literalen Dateinamen und konsultiert nicht @INC, sodass das Attribut die Datei auswählt, die Perl lädt und ausführt.

Aktualisieren Sie DBI auf Version 1.653.

Betroffen

• DBI lt *..1.653

Behoben in

• DBI 1.653

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Hohe technische Schwere: Bewerten und beheben Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 und dokumentieren Sie die Entscheidung.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

In DBI-Versionen vor 1.653 für Perl können beliebige Module über die nicht validierten dbm_type- und dbm_mldbm-Attribute in DBD::DBM geladen werden. DBD::DBM übergibt die dbm_type- und dbm_mldbm-Verbindungsattribute an require, ohne zu überprüfen, ob der Wert einen Modulnamen angibt. require behandelt einen pfadähnlichen String als einen literalen Dateinamen und konsultiert nicht @INC, sodass das Attribut die Datei auswählt, die Perl lädt und ausführt. Der von DBD::DBM vorangestellte MLDBM::Serializer::-Präfix für dbm_mldbm ist keine Grenze: Nur die ::-Trennzeichen werden in / umgeschrieben, sodass ein Wert, der / enthält, aus dem Serializer-Verzeichnis heraustraversiert. Der Wert wird auch $MLDBM::Serializer zugewiesen, das MLDBM auf die gleiche Weise benötigt, wenn es die Tabelle bindet. Ein Aufrufer, der es einem nicht vertrauenswürdigen Dritten ermöglicht, eines dieser Attribute zu beeinflussen, beispielsweise über einen DSN-Fragment oder einen Parameter, der ein Speicher-Backend auswählt, führt den Datei-Scope-Code des Moduls aus, das der Wert angibt. Zum Beispiel: my $dsn = "dbi:DBM:f_dir=/var/db;dbm_type=../../Untrusted.pm" my $dbh = DBI->connect( $dsn ); Es ist zu beachten, dass DBD::Gofer Verbindungsattribute an die Serverseite weiterleitet und DBI::ProxyServer nur überprüft, ob ein DSN mit einem Treiberpräfix beginnt.

Quelle: cvelistv5, suse_csaf, NVD (NIST), Microsoft Security Update Guide, BSI CSAF, BSI WID Portal, Ubuntu Security Notices

Weakness-Klassen (CWE)

• CWE-470Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection')

  Base

  The product uses external input with reflection to select which classes or code to use, but it does not sufficiently prevent the input from selecting improper classes or code.

  Eintrag bei MITRE CWE-470

Quellen & Referenzen

• metacpan.orgrelease/HMBRAND/DBI-1.653/changesRelease Notes
• github.comperl5-dbi/dbi/commit/315c6ce703b8b3cbe9188062d9ec80730293554a.p…Patch
• github.comperl5-dbi/dbi/security/advisories/GHSA-wqmw-wqwx-3fr7Herstellerhinweis
• openwall.comlists/oss-security/2026/09/19/4

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE – Reanalyses, CVSS-Updates, CPE-Diffs.

1. CVE Modified20.09.2026134c704f-9b21-4f2e-91b3-4a467353bcc0

   • CVSS V3.1: nachher AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
   • SSVC: nachher {"id":"CVE-2026-78030","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"yes"},{"technical…

2. CVE Modified19.09.2026af854a3a-2127-422b-91ae-364da2661108

   • Reference: nachher http://www.openwall.com/lists/oss-security/2026/09/19/4

3. New CVE Received19.09.20269b29abf9-4ab0-4765-b253-1875cd9b441e

   • Description: nachher DBI versions before 1.653 for Perl load arbitrary modules via unvalidated dbm_type and dbm_mldbm attributes in DBD::DBM. DBD::DBM passes the dbm_type and dbm_mldbm connect attributes to require without checking that the value names a module. require treats a path-shaped string as a literal filename and does not consult @INC, so the attribute chooses the file that Perl loads and runs. The MLDBM::Serializer:: prefix that DBD::DBM prepends to dbm_mldbm is not a boundary: only the :: separators are rewritten to /, so a value containing / traverses out of the serializer directory. The value is also assigned to $MLDBM::Serializer, which MLDBM requires the same way when it ties the table. A caller that lets an untrusted party influence either attribute, for example through a DSN fragment or a parameter that selects a storage backend, runs the file-scope code of whatever module the value names. For example, my $dsn = "dbi:DBM:f_dir=/var/db;dbm_type=../../Untrusted.pm" my $dbh = DBI->connect( $dsn ); Note that DBD::Gofer forwards connect attributes to the server side, and DBI::ProxyServer checks only that a DSN starts with a driver prefix.
   • CWE: nachher CWE-470
   • Affected: nachher New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/78xxx/CVE-2026-78030.json">CVE-2026-78030</a>
   • Reference: nachher https://github.com/perl5-dbi/dbi/commit/315c6ce703b8b3cbe9188062d9ec80730293554a.patch