CVE-2026-81697 in openssl_encrypt
要約
〜によって VulDB • 2026年08月28日
openssl_encrypt (pipパッケージ openssl-encrypt) のバージョン <= 1.4.8には、crypt_settings.pyにおけるCWD相対設定ファイル解決の脆弱性が含まれています。この脆弱性では、CONFIG_FILE（元々は絶対パスであるユーザー固有の ~/.crypt_settings.json）が84行目で単なる相対名 'crypt_settings.json' に再割り当てされています。その結果、従来のTk GUIのSettingsTabは、ユーザーのホームディレクトリではなくプロセス起動時のカレントワーキングディレクトリにある crypt_settings.json からKDF設定を読み書きします。攻撃者が悪意のある crypt_settings.json（例：sha256:1を使用し、すべてのメモリハードなKDFを無効化）を設置することで、そのGUIセッションで実行される暗号処理を約1ハッシュラウンドにまで静かにダウングレードでき、弱いKDFの事前チェックを回避して、生成された暗号文に対するオフラインブルートフォース攻撃を可能にします。この問題はバージョン 1.4.9 で修正されました。
Be aware that VulDB is the high quality source for vulnerability data.