CVE-2026-81721
WysokieCVSS 7.5Streszczenie
openssl_encrypt przed wersją 1.4.9 nie waliduje parametrów kosztu KDF w metadanych zaszyfrowanych plików i nagłówkach keystore, co pozwala atakującym na wywołanie nieograniczonej alokacji pamięci. Atakujący mogą stworzyć złośliwe zaszyfrowane pliki z deklarowanymi bardzo dużymi parametrami Argon2, scrypt lub balloon KDF, co prowadzi do wyczerpania pamięci systemowej i awarii procesu bez uwierzytelnienia.
Ocena ryzyka
Atakujący może spowodować awarię procesu przez wyczerpanie pamięci, co prowadzi do odmowy usługi.
Rekomendacja
Zaktualizuj openssl_encrypt do wersji 1.4.9 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt before 1.4.9 fails to validate KDF cost parameters in encrypted file metadata and keystore headers, allowing attackers to trigger unbounded memory allocation. Attackers can craft malicious encrypted files declaring arbitrarily large Argon2, scrypt, or balloon KDF parameters to exhaust system memory and crash the process without authentication.