CVE-2026-81680
ŚrednieCVSS 4.0Streszczenie
openssl_encrypt przed wersją 1.4.9 nie uwierzytelnia obecności slotów odzyskiwania w plikach szyfrowanych w formacie envelope, co pozwala atakującym na usunięcie slotów odzyskiwania bez ponownego szyfrowania ładunku. Atakujący mogą zmodyfikować nagłówek pliku, aby usunąć pola slotów odzyskiwania i ominąć uwierzytelnianie, cicho usuwając ścieżki odzyskiwania, które właściciel celowo dodał.
Ocena ryzyka
Ryzyko polega na tym, że atakujący może uniemożliwić właścicielowi odzyskanie danych w przypadku utraty hasła, co może prowadzić do trwałej utraty dostępu do zaszyfrowanych informacji.
Rekomendacja
Zaleca się aktualizację do wersji 1.4.9, która uwierzytelnia obecność slotów odzyskiwania, oraz weryfikację integralności plików szyfrowanych.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt versions before 1.4.9 fail to authenticate recovery-slot presence in envelope-format encrypted files, allowing attackers to remove recovery slots without re-encrypting the payload. Attackers can modify the file header to delete recovery-slot fields and bypass authentication, silently removing recovery paths the owner deliberately added.