JVNDB-2026-031613

JahlivesのOpenSSL Encryptにおけるコードインジェクションの脆弱性

openssl_encrypt 1.4.9以前のバージョンでは、信頼されていないサードパーティプラグインが不十分な制御のもとで実行されていました。プラグインの署名ポリシーはデフォルトでWARNに設定されていたため、署名されていない、または検証不可能な非組み込みプラグインがコンパイルされ、ランタイムサンドボックスがインストールされる前のインポート時にホストプロセス内で実行されていました。唯一のデフォルトの防御策は、不完全で回避可能なAST拒否リストでした。ユーザーが攻撃者のプラグインを読み込むように誘導された場合、openssl_encryptを実行するユーザーの権限で任意のコードが実行されることになります。1.4.9での修正では、非組み込みプラグインに対して署名ポリシーをデフォルトでENFORCEに設定しました。

Jahlives

• OpenSSL Encrypt 1.4.9 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Arbitrary code execution: untrusted third-party plugins execute under a bypassable AST denylist (signature policy defaulted to WARN)  Advisory  jahlives/openssl_encrypt  GitHub

VulnCheck

• VulnCheck : openssl_encrypt before 1.4.9 Remote Code Execution via Plugin  | Advisories | VulnCheck

1. コード・インジェクション(CWE-94) [その他]

1. CVE-2026-81719

1. National Vulnerability Database (NVD) : CVE-2026-81719

• [2026年09月03日]
    掲載