CVE-2026-81687
ŚrednieCVSS 5.5Streszczenie
openssl_encrypt przed wersją 1.4.9 nie egzekwuje limitu czasu dla liczby iteracji funkcji wyprowadzania klucza (KDF) określonej w metadanych pliku. Atakujący mogą tworzyć pliki z bardzo wysoką liczbą iteracji KDF, co powoduje nieograniczone zużycie zasobów CPU przed weryfikacją hasła.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku DoS na serwer lub stację roboczą, gdzie przetwarzane są złośliwe pliki, co może prowadzić do niedostępności usług.
Rekomendacja
Zaleca się natychmiastową aktualizację openssl_encrypt do wersji 1.4.9 lub nowszej, która wprowadza limit czasu dla iteracji KDF.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt versions before 1.4.9 fail to enforce a time ceiling on key derivation function iteration counts specified in file metadata. Attackers can craft files with extremely high KDF iteration counts to consume CPU resources for unbounded periods before password verification occurs.