JVNDB-2026-031912

JahlivesのOpenSSL Encryptにおける不適切なログ出力の無効化に関する脆弱性

openssl-encrypt（pipパッケージ、バージョン1.4.8以下）は、AES-GCM認証済みマニフェストの外部にある信頼されていないドライブデータから読み取ったファイル名を、verify-usbコマンドの出力前に適切にサニタイズしません。そのため、攻撃者は端末のカーソル移動や行消去の制御バイトを含むファイル名を仕込み、画面上に偽のPASSED判定を描画して実際の改ざん検出を隠蔽することが可能です。バージョン1.4.9では、ドライブ由来のファイル名をsanitize_for_display()を通して処理することで、この問題が修正されました。

Jahlives

• OpenSSL Encrypt 1.4.9 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : verify-usb prints attacker-planted filenames unsanitized, allowing a forged PASSED verdict  Advisory  jahlives/openssl_encrypt  GitHub

VulnCheck

• VulnCheck : verify-usb before 1.4.9 Output Injection via Unsanitized Filenames  | Advisories | VulnCheck

1. 不適切なログ出力の無効化(CWE-117) [その他]

1. CVE-2026-81694

1. National Vulnerability Database (NVD) : CVE-2026-81694

• [2026年09月04日]
    掲載