JVNDB-2026-031913

JahlivesのOpenSSL Encryptにおける強度が不十分なパスワードハッシュの使用に関する脆弱性

openssl_encrypt バージョン 1.4.9 未満では、リモートペッパーラップキーをソルトなしの HKDF-SHA256 またはパスワードの生の SHA-256 を使用して導出しています。これにより、すべてのユーザーおよびファイル間で同じキーが生成されてしまいます。ラップされたペッパーブロブにアクセス可能な攻撃者は、単一の辞書テーブルを事前計算し、ハードウェア速度で艦隊全体にわたるオフラインのパスワード推測を実行してユーザーパスワードを復元することが可能です。

Jahlives

• OpenSSL Encrypt 1.4.9 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Remote pepper wrap key derived as unsalted HKDF(password) enabling fleet-wide offline password guessing  Advisory  jahlives/openssl_encrypt  GitHub

VulnCheck

• VulnCheck : openssl_encrypt before 1.4.9 Weak Pepper Key Derivation  | Advisories | VulnCheck

1. 強度が不十分なパスワードハッシュの使用(CWE-916) [その他]

1. CVE-2026-81689

1. National Vulnerability Database (NVD) : CVE-2026-81689

• [2026年09月04日]
    掲載