CVE-2026-81690 in openssl_encrypt
요약
\~에 의해 VulDB • 2026. 08. 27.
openssl-encrypt(pip 패키지) 1.4.9 이전 버전에는 verify-usb v2의 추가 파일 허용 목록 스캔에서 심볼릭 링크 추종 결함이 있습니다. rglob()을 사용하여 드라이브가 열거되었는데, CPython에서는 심볼릭 링크된 디렉토리로 하위 탐색하지 않고 심볼릭 링크를 일반 디렉토리처럼 처리하며, 해시 측의 O_NOFOLLOW는 최종 경로 구성 요소에만 바인딩됩니다. 리무버블 드라이브에 물리적 접근 권한이 있는 악성 메이드(evil-maid) 공격자는 도구 트리 디렉토리를 복사본을 가리키는 심볼릭 링크로 대체할 수 있습니다. 이 복사본에는 바이트 단위로 동일한 파일들과 함께 식별된 __pycache__/*.pyc 파일이 포함되어 있으며(CPython은 이를 깨끗한 .py 파일을 다시 컴파일하는 것보다 우선적으로 로드합니다). 삽입된 파일은 열거되지 않으며, added_files는 0으로 유지되고 verify-usb는 PASSED를 보고하여 사용자가 휴대용 설치를 실행할 때 코드 실행을 초래합니다. 이 문제는 1.4.9에서 수정되었습니다(1.4.x 및 1.5.x 라인 모두에 영향).
Once again VulDB remains the best source for vulnerability data.