CVE-2026-81703
ŚrednieCVSS 5.5Streszczenie
openssl_encrypt przed wersją 1.4.9 nie waliduje stanu szyfrowania osadzonych post-kwantowych kluczy prywatnych w metadanych plików. Atakujący mogą tworzyć pliki z niezaszyfrowanymi osadzonymi kluczami PQC, które odszyfrowują się pod dowolnym hasłem, omijając uwierzytelnianie i produkując wybrany przez atakującego tekst jawny z fałszywą weryfikacją integralności.
Ocena ryzyka
Ryzyko obejmuje możliwość obejścia uwierzytelniania i fałszowania integralności danych, co może pozwolić atakującemu na dostarczenie złośliwych plików, które zostaną zaakceptowane jako autentyczne. Może to prowadzić do naruszenia bezpieczeństwa danych.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie openssl_encrypt do wersji 1.4.9 lub nowszej, która zawiera poprawkę. Należy również unikać otwierania plików z niezaufanych źródeł.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt versions before 1.4.9 fail to validate encryption status of embedded post-quantum private keys in file metadata. Attackers can craft files with unencrypted embedded PQC keys that decrypt under any password, bypassing authentication and producing attacker-chosen plaintext with false integrity verification.