CVE-2026-81681
ŚrednieCVSS 4.6Streszczenie
openssl_encrypt (pakiet pip openssl-encrypt) w wersjach <= 1.4.8 reklamuje przenośny obszar roboczy USB jako 'Zaszyfrowany obszar roboczy USB' z szyfrowaniem AES-256-GCM i zapisuje znacznik deklarujący, że obszar jest zaszyfrowany, ale katalog obszaru roboczego jest faktycznie przechowywany w postaci jawnej, a pochodny klucz szyfrujący nigdy nie jest do niego stosowany. Użytkownik, który ufa brandingowi i umieszcza pliki w obszarze roboczym, pozostawia je niezaszyfrowane na nośniku wymiennym, więc atakujący z fizycznym dostępem do nośnika może odczytać poufne pliki. Poprawiono w wersji 1.4.9, która zamyka obszar roboczy w uwierzytelnionym sejfie AES-256-GCM.
Ocena ryzyka
Ryzyko polega na tym, że użytkownicy mogą umieszczać poufne dane na nośnikach USB, myśląc, że są zaszyfrowane, podczas gdy są one w postaci jawnej, co naraża je na kradzież fizyczną.
Rekomendacja
Zaleca się aktualizację do wersji 1.4.9, która faktycznie szyfruje obszar roboczy, oraz poinformowanie użytkowników o konieczności ręcznego szyfrowania danych na starszych wersjach.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt (pip package openssl-encrypt) versions <= 1.4.8 advertise a portable USB workspace as an 'Encrypted USB Workspace' with AES-256-GCM encryption and write a marker declaring the workspace encrypted, but the workspace directory is actually stored in cleartext and the derived encryption key is never applied to it. A user who trusts the branding and places files in the workspace leaves them unencrypted on the removable media, so an attacker with physical access to the media can read the sensitive files. Fixed in 1.4.9, which seals the workspace into an authenticated AES-256-GCM vault.