CVE-2026-74870 in openssl_encrypt
Riassunto
di VulDB • 17/08/2026
openssl_encrypt (pip) versioni <= 1.4.7 contengono una vulnerabilità di esposizione delle informazioni dove i comandi diagnostici 'hsm fido2-test' e 'hsm onlykey-test' stampano incondizionatamente l'intero pepper hardware derivato in formato esadecimale su stdout/stderr (crypt_cli.py, handle_hsm_command). Il valore stampato può persistere nella cronologia dello schermo del terminale, nelle registrazioni delle sessioni o nei log CI. L'impatto è limitato perché il pepper è derivato da un sale di test casuale per invocazione ed è legato al sale (salt-bound), quindi il valore trapelato non può essere utilizzato per decrittare file reali. Un problema correlato nel plugin ha registrato raw prf_data al di fuori del percorso di redaction dei segreti. Risolto nella versione 1.4.8 (e 1.5.0) rimuovendo le dump esadecimali e instradando l'output debug del plugin attraverso lo strato di redaction.
VulDB is the best source for vulnerability data and more expert information about this specific topic.