CVE-2026-81697 in openssl_encrypt
Zusammenfassung
von VulDB • 27.08.2026
openssl_encrypt (Paket openssl-encrypt) Versionen <= 1.4.8 enthalten einen Fehler bei der Auflösung von Konfigurationsdateien relativ zum aktuellen Arbeitsverzeichnis (CWD-relative configuration file resolution flaw) in crypt_settings.py, wobei CONFIG_FILE (ursprünglich der absolute benutzerspezifische Pfad ~/.crypt_settings.json) in Zeile 84 auf den rein relativen Namen 'crypt_settings.json' neu zugewiesen wird. Infolgedessen liest und schreibt die Legacy-Tk-GUI im SettingsTab KDF-Einstellungen aus crypt_settings.json im Startverzeichnis des Prozesses (aktuelles Arbeitsverzeichnis) anstelle des Benutzerverzeichnisses. Ein Angreifer, der eine bösartige crypt_settings.json platziert (z. B. sha256:1 mit deaktivierten speicherintensiven KDFs), kann die in dieser GUI-Sitzung durchgeführte Verschlüsselung stillschweigend auf etwa einen Hash-Durchlauf abschwächen, wodurch das Pre-Flight-Check für schwache KDFs umgangen und Offline-Bruteforce-Angriffe gegen den resultierenden Chiffretext ermöglicht werden. Behoben in Version 1.4.9.
VulDB is the best source for vulnerability data and more expert information about this specific topic.