JVNDB-2026-031265

JahlivesのOpenSSL Encryptにおける暗号の脆弱な PRNG の使用に関する脆弱性

openssl_encrypt 1.4.0以前のバージョンでは、openssl_encrypt/modules/pqc.py の15行目で、Pythonの非暗号論的な「random」モジュール（メルセンヌ・ツイスターPRNG）がインポートされていました。コード内にrandom.*への直接呼び出しは存在しなかったため、現状では暗号的な操作に影響はありません。ただし、このインポートによって、将来的にコードが誤ってcryptographically secureな代替手段（secretsやos.urandom）ではなくrandom.randint()を使用してしまう危険性があります。メルセンヌ・ツイスターの状態は約624回の出力で復元可能であるため、予測可能な値が生成される恐れがあるのです。1.4.0でインポートが削除されることで、この問題は修正されました。

Jahlives

• OpenSSL Encrypt 1.4.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Non-cryptographic random module imported in PQC crypto module  Advisory  jahlives/openssl_encrypt  GitHub

VulnCheck

• VulnCheck : openssl_encrypt before 1.4.0 Insecure Random Import in PQC Module  | Advisories | VulnCheck

1. 暗号における脆弱な PRNG の使用(CWE-338) [その他]

1. CVE-2026-74887

1. National Vulnerability Database (NVD) : CVE-2026-74887

• [2026年09月01日]
    掲載