CVE-2026-81689
WysokieCVSS 7.5Streszczenie
openssl_encrypt przed wersją 1.4.9 wyprowadza klucz wrap dla zdalnego pieprzu używając niesolonego HKDF-SHA256 lub gołego SHA-256 hasła, co powoduje identyczne klucze dla wszystkich użytkowników i plików. Atakujący z dostępem do zaszyfrowanych bloków pieprzu mogą prekomputować słownik i przeprowadzić ataki offline na hasła w całej flocie.
Ocena ryzyka
Organizacja narażona jest na masowe złamanie haseł użytkowników, co może prowadzić do naruszenia poufności danych.
Rekomendacja
Zaktualizuj openssl_encrypt do wersji 1.4.9 lub nowszej, która używa solonego wyprowadzania klucza.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt versions before 1.4.9 derive the remote-pepper wrap key using unsalted HKDF-SHA256 or bare SHA-256 of the password, allowing identical keys across all users and files. Attackers with access to wrapped pepper blobs can precompute a single dictionary table and perform fleet-wide offline password guessing at hardware speed to recover user passwords.