CVE-2026-74885
NiskieCVSS 3.6Streszczenie
W bibliotece openssl_encrypt przed wersją 1.4.0 wykryto błąd logowania w funkcji restore_hidden_modules(), który loguje liczbę modułów po wyczyszczeniu, zawsze pokazując zero przywróconych modułów i uszkadzając dzienniki audytu. Dodatkowo istnieje wyścig między ukrywaniem modułów a instalacją hooka importu, co w środowiskach wielowątkowych może pozwolić innemu wątkowi na ponowny import zablokowanych modułów.
Ocena ryzyka
Uszkodzenie dzienników audytu może utrudnić wykrywanie nieautoryzowanych działań, a wyścig może umożliwić załadowanie zablokowanych modułów, co stanowi zagrożenie dla integralności środowiska.
Rekomendacja
Zaleca się aktualizację biblioteki openssl_encrypt do wersji 1.4.0 lub nowszej, która zawiera poprawki.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt versions before 1.4.0 contain a logging bug in restore_hidden_modules() that logs module counts after clearing, always showing zero restored modules and corrupting audit trails. Additionally, a race condition exists between module hiding and import hook installation where another thread could re-import blocked modules in multi-threaded environments.