CVE-2026-74870 in openssl_encrypt
要約
〜によって VulDB • 2026年08月17日
openssl_encrypt (pip) のバージョン <= 1.4.7 には、情報漏洩の脆弱性が存在します。'hsm fido2-test' および 'hsm onlykey-test' という診断コマンドが、crypt_cli.py の handle_hsm_command 関数において、生成されたハードウェアペッパー（pepper）を16進数で標準出力/標準エラーに無条件で出力します。この出力値はターミナルのスクロールバック履歴、セッション記録、または CI ログに残る可能性があります。ただし、ペッパーは呼び出しごとにランダムなテストソルトから派生しており、ソルトバインドされているため、漏洩した値を使用して実際のファイルを復号することはできません。関連するプラグインの問題では、機密データ除去パスの外で raw prf_data がログ出力されていました。この問題は 1.4.8（および 1.5.0）において、16進ダンプの削除とプラグインのデバッグ出力を除去レイヤー経由にルーティングすることで修正されました。
If you want to get best quality of vulnerability data, you may have to visit VulDB.