CVE-2026-81699
WysokieCVSS 7.5Streszczenie
openssl_encrypt przed wersją 1.4.9 nie waliduje poprawnie kosztów funkcji wyprowadzania klucza w spreparowanych plikach, co pozwala atakującym na wyczerpanie pamięci i CPU podczas przetwarzania przed uwierzytelnieniem. Złośliwe pliki z nadmiernymi parametrami KDF mogą zawiesić proces.
Ocena ryzyka
Atakujący może spowodować awarię usługi lub zawieszenie procesu, co prowadzi do niedostępności systemu.
Rekomendacja
Zaktualizuj openssl_encrypt do wersji 1.4.9 lub nowszej, która poprawnie waliduje parametry KDF.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt versions before 1.4.9 fail to properly validate key derivation function costs in crafted files, allowing attackers to trigger unbounded memory and CPU exhaustion during pre-authentication processing. Attackers can supply malicious files with excessive KDF parameters to exhaust system resources and crash or wedge the process before password verification occurs.