CVE-2026-81705
WysokieCVSS 7.5Streszczenie
openssl-encrypt przed wersją 1.4.9 nie usuwa hasła z wyjścia debugowania, gdy jest ono podane w skróconych formach opcji. Sanityzacja rozpoznaje tylko dokładne nazwy opcji, formy --option=value i tokeny zaczynające się od -p, więc te formy omijają mechanizm i hasło trafia do stderr. Osoby z dostępem do tego wyjścia mogą odzyskać hasło.
Ocena ryzyka
Hasła mogą wyciec do logów CI, terminali lub plików debugowania, co umożliwia nieautoryzowany dostęp do zaszyfrowanych danych.
Rekomendacja
Zaktualizuj openssl-encrypt do wersji 1.4.9 lub nowszej, aby zapewnić poprawne usuwanie haseł z wyjścia debugowania.
Oryginalny opis (angielski, źródło NVD)
openssl-encrypt before 1.4.9 fails to redact the file password in its --debug argv dump when the password is supplied via bundled short-option spellings (e.g. -apHunter2) or abbreviated long-option spellings (e.g. --passw). The sanitizer only recognized exact option names, --option=value forms, and tokens starting with -p, so these spellings bypass the redaction chokepoint and the cleartext password is written to stderr. Anyone with access to that output (terminal scrollback, merged 2>&1 output, CI job logs, or the GUI's persistent debug log) can recover the password.