JVNDB-2026-031266

JahlivesのOpenSSL Encryptにおけるデータの信頼性についての不十分な検証に関する脆弱性

openssl_encrypt 1.4.0 未満のバージョンには、安全でないデフォルト設定が含まれており、IntegrityProxyConfig の trusted_proxies では RFC 1918 のプライベートアドレス空間全体を信頼する設定になっています。プライベートネットワーク上の攻撃者は、ProxyAuth の検証が緩和または変更されている場合に、クライアント証明書ヘッダーを偽造して mTLS 認証を回避することが可能です。

Jahlives

• OpenSSL Encrypt 1.4.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Integrity proxy trusts entire RFC 1918 private address space by default  Advisory  jahlives/openssl_encrypt  GitHub

VulnCheck

• VulnCheck : openssl_encrypt before 1.4.0 Insecure Default Configuration  | Advisories | VulnCheck

1. データの信頼性についての不十分な検証(CWE-345) [その他]

1. CVE-2026-74882

1. National Vulnerability Database (NVD) : CVE-2026-74882

• [2026年09月01日]
    掲載