CVE-2026-74870
NiskieCVSS 3.3Streszczenie
W bibliotece openssl_encrypt (pip) w wersjach do 1.4.7 wykryto podatność ujawniania informacji, gdzie polecenia diagnostyczne 'hsm fido2-test' i 'hsm onlykey-test' bezwarunkowo wypisują pełny wygenerowany pepper sprzętowy jako hex na stdout/stderr (w crypt_cli.py, handle_hsm_command). Wartość może pozostać w buforze terminala, nagraniach sesji lub logach CI. Wpływ jest ograniczony, ponieważ pepper jest wyprowadzany z losowej soli testowej i jest powiązany z solą, więc wyciek nie może być użyty do odszyfrowania prawdziwych plików. Poprawiono w wersji 1.4.8 (i 1.5.0) poprzez usunięcie hex dumpów i przekierowanie debugowania pluginów przez warstwę redakcji.
Ocena ryzyka
Ujawnienie informacji może prowadzić do wycieku wrażliwych danych (pepper) do logów, co może być wykorzystane w atakach socjotechnicznych lub analizie, chociaż bezpośrednie wykorzystanie do odszyfrowania jest ograniczone.
Rekomendacja
Zaleca się aktualizację biblioteki openssl_encrypt do wersji 1.4.8 lub nowszej, która zawiera poprawki.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt (pip) versions <= 1.4.7 contain an information exposure vulnerability where the 'hsm fido2-test' and 'hsm onlykey-test' diagnostic commands unconditionally print the full derived hardware pepper as hex to stdout/stderr (crypt_cli.py, handle_hsm_command). The printed value can persist in terminal scrollback, session recordings, or CI logs. Impact is limited because the pepper is derived from a random per-invocation test salt and is salt-bound, so the leaked value cannot be used to decrypt real files. A related plugin issue logged raw prf_data outside the secret-redaction path. Fixed in 1.4.8 (and 1.5.0) by removing the hex dumps and routing plugin debug output through the redaction layer.