CVE-2026-81694
NiskieCVSS 3.3Streszczenie
openssl-encrypt (pakiet pip, wersje do 1.4.8) nie oczyszcza nazw plików odczytywanych z niezaufanych danych dysku (poza uwierzytelnionym manifestem AES-GCM) przed wydrukowaniem ich w danych wyjściowych polecenia verify-usb. Atakujący może umieścić nazwy plików zawierające bajty sterujące ruchem kursora i kasowaniem linii, które przemalowują sfałszowany werdykt PASSED na ekranie, maskując rzeczywiste wykrycie manipulacji. Naprawiono w wersji 1.4.9 przez przekierowanie nazw pochodzących z dysku przez sanitize_for_display().
Ocena ryzyka
Sfałszowany werdykt PASSED może ukryć manipulację danymi na dysku USB, co może prowadzić do naruszenia integralności danych lub użycia nieautoryzowanych plików.
Rekomendacja
Zaktualizuj openssl-encrypt do wersji 1.4.9 lub nowszej. Dodatkowo zachowaj ostrożność podczas używania verify-usb na niezaufanych dyskach.
Oryginalny opis (angielski, źródło NVD)
openssl-encrypt (pip package, versions <= 1.4.8) fails to sanitize filenames read from untrusted drive data (outside the AES-GCM authenticated manifest) before printing them in the verify-usb command's output. An attacker can plant filenames containing terminal cursor-movement and erase-line control bytes that repaint a forged PASSED verdict on screen, masking actual tamper detection. Fixed in 1.4.9 by routing drive-derived names through sanitize_for_display().