CVE-2026-81720
ŚrednieCVSS 6.2Streszczenie
openssl_encrypt przed wersją 1.4.9 nie waliduje parametru memory_cost z bloków ochrony plików tożsamości, co pozwala atakującym na wywołanie warunków braku pamięci podczas wyprowadzania klucza. Atakujący z prawem zapisu do lokalnych magazynów tożsamości mogą tworzyć złośliwe pliki tożsamości z nadmiernymi wartościami memory_cost, które powodują awarię hosta podczas odblokowywania tożsamości przed uwierzytelnieniem.
Ocena ryzyka
Ryzyko obejmuje możliwość spowodowania awarii systemu przez atakującego z lokalnym dostępem do magazynów tożsamości, co prowadzi do niedostępności usług. Może to być wykorzystane do ataków DoS.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie openssl_encrypt do wersji 1.4.9 lub nowszej, która zawiera poprawkę. Należy również ograniczyć dostęp do magazynów tożsamości.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt before 1.4.9 fails to validate the memory_cost parameter from identity file protection blocks, allowing attackers to trigger out-of-memory conditions during key derivation. Attackers with write access to local identity stores can craft malicious identity files with excessive memory_cost values that cause the host to crash when unlocking identities before authentication.