CVE-2026-81706
ŚrednieCVSS 6.8Streszczenie
openssl_encrypt przed wersją 1.4.9 nie zapobiega kolizjom przestrzeni nazw między własnymi tożsamościami a kontaktami w IdentityStore, co pozwala atakującym na tworzenie zacienionych wpisów kontaktowych niewidocznych do czasu usunięcia odpowiedniej własnej tożsamości. Po usunięciu własnej tożsamości zacieniony kontakt staje się widoczny i rozwiązuje się do kluczy atakującego, umożliwiając cichą podmianę kluczy dla zaszyfrowanych plików.
Ocena ryzyka
Ryzyko obejmuje możliwość cichej podmiany kluczy, co może pozwolić atakującemu na odszyfrowanie lub manipulację zaszyfrowanymi plikami. Może to prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie openssl_encrypt do wersji 1.4.9 lub nowszej, która zawiera poprawkę. Należy również przejrzeć istniejące tożsamości i kontakty pod kątem podejrzanych wpisów.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt before 1.4.9 fails to prevent namespace collisions between own identities and contacts in IdentityStore, allowing attackers to create shadowed contact entries invisible until the corresponding own identity is deleted. When the own identity is deleted, the shadowed contact becomes visible and resolves to the attacker's keys, enabling silent key substitution for encrypted files.