CVE-2026-74877
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
openssl_encrypt przed wersją 1.4.0 zawiera podatność na brak weryfikacji własności w metodzie revoke_key, która pozwala uwierzytelnionym klientom na unieważnienie klucza dowolnego innego klienta. Atakujący mogą unieważnić dowolne klucze, dostarczając ważny podpis ML-DSA, omijając zamierzone ograniczenie własności.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowane unieważnienie kluczy innych użytkowników, co może prowadzić do przerwania usług i naruszenia integralności systemu.
Rekomendacja
Zaleca się aktualizację openssl_encrypt do wersji 1.4.0 lub nowszej, która zawiera poprawkę wymuszającą weryfikację własności przed unieważnieniem klucza.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt versions before 1.4.0 contain a missing ownership verification vulnerability in the revoke_key method that allows authenticated clients to revoke any other client's key. Attackers can revoke arbitrary keys by providing a valid ML-DSA signature, bypassing the intended ownership restriction.