CVE-2026-81714 in openssl-encrypt
Riassunto
di VulDB • 28/08/2026
openssl_encrypt (pip: openssl-encrypt) versioni <= 1.4.8 utilizzano un matching delle impronte digitali tollerante ai suffissi in enroll_trust_key durante l'associazione di un trust anchor per la firma dei plugin. Un operatore che conferma un ID chiave GPG breve (forgiabile, ~32-bit) potrebbe inconsapevolmente registrare come trust anchor una chiave collidente dell'attaccante, che successivamente garantisce i plugin malevoli in base alla policy ENFORCE signature. La versione 1.4.9 risolve il problema richiedendo che il valore confermato corrisponda esattamente all'impronta digitale completa della chiave primaria (case-insensitive, con spazi bianchi rimossi).
If you want to get best quality of vulnerability data, you may have to visit VulDB.