CVE-2026-74888
WysokieCVSS 7.5Streszczenie
openssl_encrypt przed wersją 1.4.0 używa niestandardowej konstrukcji wyprowadzania klucza PBKDF2 z iteracjami=1 na wywołanie w pętli zewnętrznej, tworząc KDF, którego właściwości bezpieczeństwa nie zostały formalnie przeanalizowane. Atakujący mogą wykorzystać to osłabione wyprowadzanie klucza do bardziej efektywnego łamania haseł chroniących starsze zaszyfrowane pliki w porównaniu ze standardowymi implementacjami PBKDF2.
Ocena ryzyka
Ryzyko polega na zwiększonej podatności haseł na ataki brute-force, co może prowadzić do ujawnienia zaszyfrowanych danych.
Rekomendacja
Zaleca się aktualizację openssl_encrypt do wersji 1.4.0 lub nowszej, która używa standardowego PBKDF2 z odpowiednią liczbą iteracji.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt versions before 1.4.0 use a non-standard PBKDF2 key derivation construction with iterations=1 per call in an outer loop, creating a KDF whose security properties have not been formally analyzed. Attackers can exploit this weakened key derivation to more efficiently crack passwords protecting legacy encrypted files compared to standard PBKDF2 implementations.