CVE-2026-81702
KrytyczneCVSS 9.8Streszczenie
openssl_encrypt przed wersją 1.4.9 nie przelicza i nie weryfikuje odcisków palców podczas ładowania tożsamości z identity.json, co pozwala atakującym podmieniać klucze publiczne w magazynach tożsamości. Atakujący mogą zastąpić legalne klucze publiczne własnymi, zachowując deklarowany odcisk palca, co umożliwia ciche podstawienie kluczy, gdzie szyfrowanie używa kluczy atakującego, a weryfikacja podpisów wydaje się poprawna.
Ocena ryzyka
Atakujący może podmienić klucze publiczne bez wykrycia, co prowadzi do przechwycenia szyfrowanej komunikacji i fałszywej weryfikacji podpisów.
Rekomendacja
Zaktualizuj openssl_encrypt do wersji 1.4.9 lub nowszej, która zawiera poprawkę ponownego obliczania i weryfikacji odcisków palców.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt before 1.4.9 fails to re-derive and validate fingerprints when loading identities from identity.json, allowing attackers to substitute public keys in identity stores. Attackers can replace legitimate public keys with their own while maintaining the claimed fingerprint, enabling silent key substitution where encryption uses attacker keys and signature verification appears valid.