CVE-2026-74870 in openssl_encrypt
Zusammenfassung
von VulDB • 17.08.2026
openssl_encrypt (pip) Versionen <= 1.4.7 enthalten eine Schwachstelle zur Offenlegung von Informationen, bei der die Diagnosebefehle 'hsm fido2-test' und 'hsm onlykey-test' den vollständigen abgeleiteten Hardware-Pepper bedingungslos als Hexadezimalwert auf stdout/stderr ausgeben (crypt_cli.py, handle_hsm_command). Der ausgegebene Wert kann im Bildlaufpuffer des Terminals, in Sitzungsaufzeichnungen oder in CI-Logs verbleiben. Die Auswirkung ist begrenzt, da der Pepper aus einem zufälligen, pro Aufruf generierten Test-Salt abgeleitet wird und an dieses gebunden ist; daher kann der geleakte Wert nicht zur Entschlüsselung echter Dateien verwendet werden. Ein verwandtes Plugin-Problem protokollierte rohe prf_data außerhalb des Pfads zur Geheimnislöschung (Secret-Redaction). Behoben in 1.4.8 (und 1.5.0) durch Entfernen der Hex-Dumps und Weiterleitung von Plugin-Debug-Ausgaben über die Redaktionsschicht.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.