CVE-2026-74901
KrytyczneCVSS 9.8Streszczenie
openssl_encrypt przed wersją 1.4.0 zawiera podatność na ominięcie uwierzytelniania w pqc.py, gdzie niepowodzenia deszyfrowania AES-GCM powodują przełączenie na nieuwierzytelniony tryb AES-CTR. Atakujący mogą modyfikować szyfrogram w transmisji, aby ominąć weryfikację integralności i przeprowadzać ataki typu bit-flipping bez wykrycia.
Ocena ryzyka
Ryzyko polega na tym, że integralność danych przesyłanych przez system może zostać naruszona bez wykrycia, co może prowadzić do manipulacji danymi lub wstrzyknięcia złośliwych treści.
Rekomendacja
Zaleca się natychmiastową aktualizację openssl_encrypt do wersji 1.4.0 lub nowszej, która eliminuje tę podatność.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt versions before 1.4.0 contain an authentication bypass vulnerability in pqc.py where AES-GCM decryption failures trigger fallback to unauthenticated AES-CTR mode. Attackers can modify ciphertext in transit to bypass integrity verification and perform bit-flipping attacks without detection.