JVNDB-2026-031911

JahlivesのOpenSSL Encryptにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性

openssl_encryptのバージョン1.4.9未満では、鍵導出関数（KDF）のコストが不正に作成されたファイル内で適切に検証されず、攻撃者が認証前処理の際に無制限のメモリおよびCPUリソース枯渇を引き起こすことが可能です。攻撃者は過剰なKDFパラメータを含む悪意のあるファイルを提供することでシステムリソースを使い果たし、パスワード検証が行われる前にプロセスをクラッシュさせたりハングさせたりすることができます。

Jahlives

• OpenSSL Encrypt 1.4.9 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Pre-authentication memory/CPU exhaustion via unbounded KDF cost in crafted files  Advisory  jahlives/openssl_encrypt  GitHub

VulnCheck

• VulnCheck : openssl_encrypt before 1.4.9 Denial of Service via unbounded KDF cost  | Advisories | VulnCheck

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-81699

1. National Vulnerability Database (NVD) : CVE-2026-81699

• [2026年09月04日]
    掲載