JVNDB-2026-031357

JahlivesのOpenSSL Encryptにおけるデジタル署名の検証に関する脆弱性

openssl_encrypt のバージョン 1.4.9 より前では、信頼された組み込みプラグインを識別するために denylist（拒否リスト）を使用しており、トップレベルの plugins/ ディレクトリおよび不明なサブディレクトリ内の署名されていないプラグインが署名検証を回避できる状態でした。攻撃者は文書化されたインストールパスに従って悪意のある署名されていないプラグインを配置することで、パスワードや暗号鍵へのアクセス権を持つ CLI プロセス内で任意のコードを実行できます。

Jahlives

• OpenSSL Encrypt 1.4.9 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Built-in plugin trust shortcut covers top-level plugins/ and unknown dirs, executing unsigned plugins  Advisory  jahlives/openssl_encrypt  GitHub

VulnCheck

• VulnCheck : openssl_encrypt before 1.4.9 Arbitrary Code Execution via unsigned plugin  | Advisories | VulnCheck

1. デジタル署名の不適切な検証(CWE-347) [その他]

1. CVE-2026-81701

1. National Vulnerability Database (NVD) : CVE-2026-81701

• [2026年09月02日]
    掲載