CVE-2026-81714
WysokieCVSS 7.0Streszczenie
openssl_encrypt w wersjach do 1.4.8 używa tolerancyjnego na sufiksy dopasowywania odcisków palców podczas wiązania zaufanego klucza. Operator potwierdzający krótki, podrabialny identyfikator klucza GPG może nieświadomie zarejestrować klucz atakującego jako zaufany, co umożliwia podpisywanie złośliwych wtyczek. Wersja 1.4.9 wymaga dokładnego dopasowania pełnego odcisku palca klucza głównego.
Ocena ryzyka
Organizacja może zaakceptować złośliwe wtyczki jako zaufane, co prowadzi do wykonania nieautoryzowanego kodu w środowisku z polityką ENFORCE.
Rekomendacja
Zaktualizuj openssl_encrypt do wersji 1.4.9 lub nowszej, aby wymusić dokładne dopasowanie odcisku palca.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt (pip: openssl-encrypt) versions <= 1.4.8 use suffix-tolerant fingerprint matching in enroll_trust_key when binding a plugin-signing trust anchor. An operator who confirms a short (forgeable, ~32-bit) GPG key id could unknowingly enroll an attacker's colliding key as a trusted anchor, which then vouches for malicious plugins under the ENFORCE signature policy. Version 1.4.9 fixes this by requiring the confirmed value to exactly match the full primary-key fingerprint (case-insensitive, whitespace-stripped).