JVNDB-2026-031267

JahlivesのOpenSSL Encryptにおけるユーザ制御の鍵による認証回避に関する脆弱性

openssl_encryptのバージョン1.4.0以前には、revoke_keyメソッドに所有権確認の欠如という脆弱性が存在し、認証済みクライアントが他の任意のクライアントのキーを取り消すことが可能でした。攻撃者は有効なML-DSA署名を提供することで、本来の所有権制限を回避し、任意のキーを取り消すことができます。

Jahlives

• OpenSSL Encrypt 1.4.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : No owner verification on key revocation ― any client can revoke any key  Advisory  jahlives/openssl_encrypt  GitHub

VulnCheck

• VulnCheck : openssl_encrypt before 1.4.0 Missing Ownership Verification via revoke_key  | Advisories | VulnCheck

1. ユーザ制御の鍵による認証回避(CWE-639) [その他]

1. CVE-2026-74877

1. National Vulnerability Database (NVD) : CVE-2026-74877

• [2026年09月01日]
    掲載