Podatności openssl_encrypt

openssl_encrypt przed wersją 1.4.9 nie waliduje adresów URL serwera w funkcjach login i register_with_email, akceptując niezaszyfrowane adresy http:// i niekonfigurowane hosty. Atakujący na ścieżce sieciowej mogą przechwycić poświadczenia w postaci jawnego tekstu, w tym client_id, hasła i JWT, co prowadzi do pełnego przejęcia konta na serwerze kluczy.

openssl-encrypt przed wersją 1.4.9 zawiera podatność na podążanie za dowiązaniami symbolicznymi w skanie verify-usb v2. Atakujący z fizycznym dostępem do dysku przenośnego może podmienić katalog na dowiązanie symboliczne do kopii z identycznymi plikami oraz podłożonym plikiem __pycache__/*.pyc, który jest ładowany zamiast czystego .py. Plik nie jest wykrywany, verify-usb raportuje PASSED, co prowadzi do wykonania kodu. Naprawione w 1.4.9 (dotyczy linii 1.4.x i 1.5.x).

openssl_encrypt przed wersją 1.4.9 wyprowadza klucz wrap dla zdalnego pieprzu używając niesolonego HKDF-SHA256 lub gołego SHA-256 hasła, co powoduje identyczne klucze dla wszystkich użytkowników i plików. Atakujący z dostępem do zaszyfrowanych bloków pieprzu mogą prekomputować słownik i przeprowadzić ataki offline na hasła w całej flocie.

openssl_encrypt przed wersją 1.4.9 przechowuje niezaszyfrowany hash SHA-256 tekstu jawnego w nagłówku pliku. Atakujący bez hasła może odczytać ten hash, aby potwierdzić zgadywane teksty jawne offline lub identyfikować identyczne teksty jawne w różnych zaszyfrowanych plikach.

openssl_encrypt 1.4.x przed 1.4.9 zawiera opcjonalną usługę D-Bus, której metoda org.freedesktop.DBus.Properties.Set nie wykonuje ani autoryzacji polkit, ani walidacji wartości. Każdy lokalny użytkownik na magistrali systemowej może wywołać Set bez autoryzacji i ustawić MaxConcurrentOperations (na 0/ujemną, powodując odmowę wszystkich kolejnych operacji, lub na ogromną wartość usuwając limit) lub nieograniczony DefaultTimeout, co prowadzi do trwałego DoS demona roota. Usługa D-Bus istnieje tylko w linii 1.4.x i została usunięta w 1.5.x.

openssl_encrypt w wersjach przed 1.4.9 nie oczyszcza metadanych slotów odzyskiwania w graficznym interfejsie użytkownika, co pozwala atakującym wstrzykiwać znaki sterujące i separatory linii do okna potwierdzenia nieodwracalnego usunięcia. Atakujący mogą tworzyć zaszyfrowane pliki ze złośliwymi identyfikatorami slotów zawierającymi nadpisania dwukierunkowe lub znaki separatora linii, aby sfałszować tekst ostrzeżenia i oszukać użytkowników podczas operacji usuwania plików.

W openssl_encrypt (pakiet pip openssl-encrypt) w wersjach <= 1.4.8, graficzny interfejs użytkownika przekazuje hasło do steganografii do procesu potomnego CLI w linii poleceń przez argument --stego-password (zarówno przy szyfrowaniu, jak i deszyfrowaniu) zamiast przez zmienną środowiskową, jak to ma miejsce dla głównego hasła. Każdy lokalny użytkownik może odczytać hasło steganograficzne z /proc/<pid>/cmdline przez cały czas życia podprocesu. Poprawiono w wersji 1.4.9.

openssl_encrypt (pakiet pip openssl-encrypt) w wersjach 1.4.8 i starszych przechowuje klucz prywatny klienta mTLS w postaci jawnej w pliku SharedPreferences o uprawnieniach 0644, dostępnym dla wszystkich użytkowników. Lokalny atakujący z dostępem do systemu plików może odczytać ten klucz. Wersja 1.4.9 zapisuje PEM w dedykowanym pliku 0600 i usuwa stare wartości.

openssl_encrypt (pakiet pip openssl-encrypt) w wersjach <= 1.4.8 reklamuje przenośny obszar roboczy USB jako 'Zaszyfrowany obszar roboczy USB' z szyfrowaniem AES-256-GCM i zapisuje znacznik deklarujący, że obszar jest zaszyfrowany, ale katalog obszaru roboczego jest faktycznie przechowywany w postaci jawnej, a pochodny klucz szyfrujący nigdy nie jest do niego stosowany. Użytkownik, który ufa brandingowi i umieszcza pliki w obszarze roboczym, pozostawia je niezaszyfrowane na nośniku wymiennym, więc atakujący z fizycznym dostępem do nośnika może odczytać poufne pliki. Poprawiono w wersji 1.4.9, która zamyka obszar roboczy w uwierzytelnionym sejfie AES-256-GCM.

openssl_encrypt przed wersją 1.4.9 nie uwierzytelnia obecności slotów odzyskiwania w plikach szyfrowanych w formacie envelope, co pozwala atakującym na usunięcie slotów odzyskiwania bez ponownego szyfrowania ładunku. Atakujący mogą zmodyfikować nagłówek pliku, aby usunąć pola slotów odzyskiwania i ominąć uwierzytelnianie, cicho usuwając ścieżki odzyskiwania, które właściciel celowo dodał.

openssl_encrypt przed wersją 1.4.0 zawiera zakodowany na stałe domyślny sekretny klucz w konfiguracji samodzielnego serwera telemetrii, używany do haszowania kluczy API. Atakujący, którzy znają tę domyślną wartość, mogą przewidzieć lub sfałszować hasze kluczy API, aby naruszyć uwierzytelnianie API telemetrii.

openssl_encrypt przed wersją 1.4.0 importuje niekryptograficzny moduł 'random' Pythona (Mersenne Twister PRNG) w pliku openssl_encrypt/modules/pqc.py. Brak bezpośrednich wywołań random.* w kodzie, więc obecnie żadna operacja kryptograficzna nie jest zagrożona, ale import stwarza ryzyko, że przyszły kod może przypadkowo użyć random.randint() zamiast bezpiecznego kryptograficznie alternatywy (secrets/os.urandom), produkując przewidywalne wartości. Poprawka usuwa import w wersji 1.4.0.

openssl_encrypt przed wersją 1.4.0 zawiera niebezpieczną domyślną konfigurację, która ufa całej prywatnej przestrzeni adresowej RFC 1918 w trusted_proxies w IntegrityProxyConfig. Atakujący w sieciach prywatnych mogą sfałszować nagłówki certyfikatów klienta, aby obejść uwierzytelnianie mTLS, gdy walidacja ProxyAuth jest złagodzona lub zmodyfikowana.

openssl_encrypt przed wersją 1.4.0 konfiguruje CORS z allow_origins ustawionym na wildcard i allow_credentials włączonym na true. Atakujący mogą tworzyć złośliwe strony internetowe, które wykonują uwierzytelnione żądania cross-origin do API w imieniu każdego użytkownika, który je odwiedzi.

openssl_encrypt przed wersją 1.4.0 zawiera podatność na brak weryfikacji własności w metodzie revoke_key, która pozwala uwierzytelnionym klientom na unieważnienie klucza dowolnego innego klienta. Atakujący mogą unieważnić dowolne klucze, dostarczając ważny podpis ML-DSA, omijając zamierzone ograniczenie własności.

openssl_encrypt przed wersją 1.4.6 zawiera wadę w wyprowadzaniu klucza w trybie sekwencyjnej kompozycji XOR, gdzie ostatni etap jest anulowany podczas generowania klucza. Gdy skonfigurowano pojedynczy KDF i brak wcześniejszego etapu haszowania, atakujący mogą ominąć pamięciożerne wyprowadzanie klucza i przeprowadzić offline'owe łamanie haseł z prędkością SHA-256 zamiast kosztu skonfigurowanego KDF.