JVNDB-2026-031910

JahlivesのOpenSSL Encryptにおけるデータの信頼性についての不十分な検証に関する脆弱性

openssl_encryptのバージョン1.4.9以前では、identity.jsonからアイデンティティを読み込む際にフィンガープリントの再導出および検証に失敗し、攻撃者がアイデンティティストア内で公開鍵を置き換えることが可能になります。攻撃者は正当な公開鍵を自身のものと差し替え、主張されたフィンガープリントを維持することで、暗号化が攻撃者の鍵を使用し、署名検証も有効であるように見える無音の鍵置換を実現できます。

Jahlives

• OpenSSL Encrypt 1.4.9 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Identity.load trusts the stored fingerprint without re-deriving it, enabling silent key substitution  Advisory  jahlives/openssl_encrypt  GitHub

VulnCheck

• VulnCheck : openssl_encrypt before 1.4.9 Key Substitution via Identity Load  | Advisories | VulnCheck

1. データの信頼性についての不十分な検証(CWE-345) [その他]

1. CVE-2026-81702

1. National Vulnerability Database (NVD) : CVE-2026-81702

• [2026年09月04日]
    掲載