JVNDB-2026-031354

JahlivesのOpenSSL Encryptにおけるデータの信頼性についての不十分な検証に関する脆弱性

openssl_encrypt バージョン 1.4.9 未満では、IdentityStore 内の自身のアイデンティティと連絡先間の名前空間の衝突を防止できず、攻撃者が影に隠れた連絡先エントリを作成できる状態です。この連絡先エントリは対応する自身のアイデンティティが削除されるまで見えません。自身のアイデンティティが削除されると、その影に隠れた連絡先が可視化され、攻撃者の鍵により解決されるため、暗号化ファイルに対して静かに鍵を置換することが可能になります。

Jahlives

• OpenSSL Encrypt 1.4.9 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Contact stored under an own identity's name silently substitutes its keys when the identity is deleted  Advisory  jahlives/openssl_encrypt  GitHub

VulnCheck

• VulnCheck : openssl_encrypt before 1.4.9 Key Substitution via Identity Shadowing  | Advisories | VulnCheck

1. データの信頼性についての不十分な検証(CWE-345) [その他]

1. CVE-2026-81706

1. National Vulnerability Database (NVD) : CVE-2026-81706

• [2026年09月02日]
    掲載