CVE-2026-74889
KrytyczneCVSS 9.8Streszczenie
openssl_encrypt przed wersją 1.4.0 używa HKDF bez soli i ze statycznym parametrem info w funkcjach normalizacji kluczy, co zmniejsza ekstrakcję entropii i determinizm. Atakujący mogą wykorzystać przewidywalne wyprowadzanie kluczy przy identycznych danych wejściowych, aby osłabić bezpieczeństwo kryptograficzne przeciwko atakom wielocelowym.
Ocena ryzyka
Ryzyko polega na tym, że przewidywalne wyprowadzanie kluczy może ułatwić ataki wielocelowe, co może prowadzić do kompromitacji szyfrowania.
Rekomendacja
Należy zaktualizować openssl_encrypt do wersji 1.4.0 lub nowszej, która poprawia parametry HKDF.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt versions before 1.4.0 use HKDF with no salt and static info parameter in key normalization functions, reducing entropy extraction and determinism. Attackers can exploit predictable key derivation with identical inputs to weaken cryptographic security against multi-target attacks.