CVE-2026-81686
ŚrednieCVSS 6.2Streszczenie
openssl_encrypt 1.4.x przed 1.4.9 zawiera opcjonalną usługę D-Bus, której metoda org.freedesktop.DBus.Properties.Set nie wykonuje ani autoryzacji polkit, ani walidacji wartości. Każdy lokalny użytkownik na magistrali systemowej może wywołać Set bez autoryzacji i ustawić MaxConcurrentOperations (na 0/ujemną, powodując odmowę wszystkich kolejnych operacji, lub na ogromną wartość usuwając limit) lub nieograniczony DefaultTimeout, co prowadzi do trwałego DoS demona roota. Usługa D-Bus istnieje tylko w linii 1.4.x i została usunięta w 1.5.x.
Ocena ryzyka
Ryzyko to trwała odmowa usługi (DoS) demona roota przez dowolnego lokalnego użytkownika, co może zakłócić działanie całego systemu.
Rekomendacja
Zaleca się aktualizację do wersji 1.4.9 lub nowszej, która zawiera poprawkę, lub rozważenie przejścia na linię 1.5.x, gdzie usługa D-Bus została usunięta.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt 1.4.x before 1.4.9 contains an optional D-Bus crypto service whose org.freedesktop.DBus.Properties.Set method performs neither a polkit authorization check nor value validation. Any local user on the system bus can call Set without authorization and set MaxConcurrentOperations (to 0/negative, causing the concurrency gate to refuse all subsequent operations, or to a huge value removing the limit) or the unbounded DefaultTimeout, resulting in a persistent denial of service of the root daemon. The D-Bus service exists only on the 1.4.x line and was removed in 1.5.x.