CVE-2026-81714
Açıklama
openssl_encrypt (pip: openssl-encrypt) <= 1.4.8 sürümleri, bir eklenti imzalama güven çıpası bağlanırken enroll_trust_key fonksiyonunda son ek toleranslı parmak izi eşleştirmesi kullanmaktadır. Kısa (taklit edilebilir, ~32-bit) bir GPG anahtar kimliğini onaylayan bir operatör, farkında olmadan saldırganın çakışan anahtarını güvenilir bir çıpa olarak kaydedebilir; bu durum daha sonra ENFORCE imza politikası altında kötü amaçlı eklentilerin doğrulanmasına yol açabilir. Sürüm 1.4.9, onaylanan değerin tam birincil anahtar parmak iziyle birebir eşleşmesini gerektirerek (büyük/küçük harf duyarsız, boşluklar temizlenmiş şekilde) bu sorunu gidermektedir.
Nasıl düzeltilir
- jahlives openssl_encrypt1.4.9 ya da sonraki bir sürüm
- openssl-encrypt1.4.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jahlives openssl_encrypt | v < 1.4.9 | 1.4.9 |
| openssl-encryptPyPI | v < 1.4.9 | 1.4.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.