JVNDB-2026-031907

JahlivesのOpenSSL Encryptにおけるリソースの枯渇に関する脆弱性

openssl_encrypt バージョン1.4.9以前では、アイデンティティファイル保護ブロックの memory_cost パラメータが検証されず、不正なメモリコスト値によりキー導出時にメモリ不足状態を引き起こす可能性があります。ローカルのアイデンティティストアへの書き込み権限を持つ攻撃者は、過剰な memory_cost 値を持つ悪意のあるアイデンティティファイルを作成し、認証前にアイデンティティのロック解除を試みる際にホストをクラッシュさせることができます。

Jahlives

• OpenSSL Encrypt 1.4.9 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Pre-authentication memory-exhaustion DoS via unbounded Argon2 memory_cost in identity-file protection block  Advisory  jahlives/openssl_encrypt  GitHub

VulnCheck

• VulnCheck : openssl_encrypt before 1.4.9 Denial of Service via Unbounded Argon2  | Advisories | VulnCheck

1. リソースの枯渇(CWE-400) [その他]

1. CVE-2026-81720

1. National Vulnerability Database (NVD) : CVE-2026-81720

• [2026年09月04日]
    掲載