JVNDB-2026-031932

JahlivesのOpenSSL Encryptにおけるログファイルからの情報漏えいに関する脆弱性

openssl_encrypt (pip) バージョン ＜= 1.4.7 には情報漏洩の脆弱性が存在します。この脆弱性は、「hsm fido2-test」および「hsm onlykey-test」という診断コマンドが、派生したハードウェアペッパーを16進数で標準出力や標準エラー出力に無条件に出力してしまうことに起因します（crypt_cli.py, handle_hsm_command）。出力された値は、ターミナルのスクロールバック、セッション録画、CIログなどに残存する可能性があります。影響が限定的である理由は、ペッパーが呼び出し毎のランダムなテスト用ソルトから派生しており、ソルトに依存しているため、漏洩した値を用いて実際のファイルを復号化できないためです。関連するプラグインの問題として、生の prf_data が秘密情報の削減経路外で記録されていた問題も報告されています。本脆弱性は、バージョン1.4.8（および1.5.0）で、16進ダンプの削除およびプラグインのデバッグ出力を秘密情報削減レイヤーを通す方式に変更することで修正されました。

Jahlives

• OpenSSL Encrypt 1.4.7 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : hsm fido2-test/onlykey-test print the derived hardware pepper in cleartext  Advisory  jahlives/openssl_encrypt  GitHub

VulnCheck

• VulnCheck : openssl_encrypt before 1.4.8 Hardware Pepper Information Disclosure  | Advisories | VulnCheck

1. ログファイルからの情報漏えい(CWE-532) [その他]

1. CVE-2026-74870

1. National Vulnerability Database (NVD) : CVE-2026-74870

• [2026年09月04日]
    掲載