JVNDB-2026-031614

JahlivesのOpenSSL Encryptにおけるデジタル署名の検証に関する脆弱性

openssl_encrypt（pipパッケージのopenssl-encrypt）バージョン1.4.9未満には、ポータブルUSBドライブ機能に2つの脆弱性があります。この機能の脅威モデルは、着脱可能なドライブを信頼できないもの（物理的に書き込みアクセス可能な攻撃者）として扱っています。USBDriveCreator._verify_integrity_fileはマニフェストに記載されているファイルのみを検証するため、ドライブに追加されたファイル（ルートレベルのautorunペイロードを含む）を検出せず、整合性検証を通過させてしまいます。さらに、ドライブごとのソルトファイルが存在しないドライブの暗号化キー導出には、グローバル定数かつソースコードに埋め込まれたKDFソルト（_LEGACY_FIXED_SALT）が使用されており、これにより事前計算耐性を失い、オフラインでのレインボーテーブル攻撃が可能となっています。

Jahlives

• OpenSSL Encrypt 1.4.9 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Portable USB: integrity check misses added/autorun files and uses a fixed hardcoded KDF salt  Advisory  jahlives/openssl_encrypt  GitHub

VulnCheck

• VulnCheck : openssl_encrypt before 1.4.9 Integrity Bypass via Added Files  | Advisories | VulnCheck

1. デジタル署名の不適切な検証(CWE-347) [その他]

1. CVE-2026-81717

1. National Vulnerability Database (NVD) : CVE-2026-81717

• [2026年09月03日]
    掲載