JVNDB-2026-031621

JahlivesのOpenSSL Encryptにおける入力確認に関する脆弱性

openssl_encrypt 1.4.x のバージョン1.4.9以前には、org.freedesktop.DBus.Properties.Setメソッドを持つオプションのD-Bus暗号サービスが含まれていましたが、このメソッドはpolkitの認可チェックも値の検証も行いませんでした。システムバス上の任意のローカルユーザーは認可なしにSetを呼び出すことができ、MaxConcurrentOperationsを0または負の値（これにより並行処理ゲートがすべての後続操作を拒否する値）や非常に大きな値（制限を除去する値）に設定したり、無制限のDefaultTimeoutを設定したりできました。その結果、rootデーモンに対する永続的なサービス拒否状態が発生しました。このD-Busサービスは1.4.x系のみに存在し、1.5.xで削除されています。

Jahlives

• OpenSSL Encrypt 1.4.9 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : D-Bus Properties.Set lacks caller authorization and value validation, letting any local user DoS the crypto service  Advisory  jahlives/openssl_encrypt  GitHub

VulnCheck

• VulnCheck : openssl_encrypt before 1.4.9 D-Bus Properties Authorization Bypass  | Advisories | VulnCheck

1. 不適切な入力確認(CWE-20) [その他]

1. CVE-2026-81686

1. National Vulnerability Database (NVD) : CVE-2026-81686

• [2026年09月03日]
    掲載