JVNDB-2026-031619

JahlivesのOpenSSL Encryptにおけるリンク解釈に関する脆弱性

openssl-encrypt（pipパッケージ）バージョン1.4.9未満には、verify-usb v2のadded-file許可リストスキャンにおいてシンボリックリンク追従の脆弱性があります。このスキャンではrglob()を使ってドライブを列挙していましたが、CPythonではシンボリックリンクされたディレクトリに降りていかず、シンボリックリンクを通常のディレクトリとして扱います。一方、ハッシュ側のO_NOFOLLOWはパスの最終コンポーネントのみに適用されます。物理的にリムーバブルドライブにアクセス可能な悪意ある攻撃者は、ツールのディレクトリツリーの一部をシンボリックリンクに差し替えることで、同一のバイト内容を持つファイル群と、埋め込まれた__pycache__/*.pycファイル（CPythonはこれを優先的に読み込み、クリーンな.pyファイルの再コンパイルを回避します）を用意できます。埋め込まれたファイルは列挙されず、added_filesは0のままで、verify-usbはPASSEDを報告します。その結果、被害者がポータブルインストールを実行した際にコードが実行されてしまいます。この問題はバージョン1.4.9で修正されており、影響は1.4.x系と1.5.x系の両方に及びます。

Jahlives

• OpenSSL Encrypt 1.4.9 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : verify-usb silently skips content under a planted directory symlink, allowing a forged PASSED  Advisory  jahlives/openssl_encrypt  GitHub

VulnCheck

• VulnCheck : verify-usb before 1.4.9 Symlink Directory Traversal Code Execution  | Advisories | VulnCheck

1. リンク解釈の問題(CWE-59) [その他]

1. CVE-2026-81690

1. National Vulnerability Database (NVD) : CVE-2026-81690

• [2026年09月03日]
    掲載