Vulnérabilité dans openssl_encrypt (CVE-2026-74875)
Résumé
Vulnérabilité dans openssl_encrypt (CVE-2026-74875). L'exploitation peut entraîner la prise de contrôle totale du système.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
In openssl_encrypt/modules/json_validator.py at lines 234-238, when the jsonschema library is not installed, all schema validation is silently skipped with only a print warning.
Affected Code
if not JSONSCHEMA_AVAILABLE:
print(f"Warning: Cannot validate against schema '{schema_name}' - jsonschema library not available")
return
Additionally, unknown metadata format versions (line 288-293) bypass schema validation entirely, and all schemas use additionalProperties: true allowing arbitrary extra fields.
Impact
An attacker who can influence the Python environment (remove the jsonschema package) or craft metadata with an unknown version number can bypass all schema checks. Malformed or malicious metadata will be accepted without validation.
Recommended Fix
- Make
jsonschemaa required dependency, not optional - Or fail-closed: refuse to process metadata when validation cannot be performed
- Reject unknown format versions instead of silently skipping validation
- Consider using
additionalProperties: falsein schemas
Fix
Fixed in commit 6e7f938 on branch releases/1.4.x — validate_against_schema() now raises JSONValidationError when jsonschema is unavailable instead of silently passing; changed print() warning to logging.warning().
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-74875 a été découverte dans openssl_encrypt.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 9.8/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « openssl_encrypt CVE-2026-74875 » sur le site de l'éditeur.
CVE-2026-74875 (openssl_encrypt) — CWE-345 / CVSS v3 9.8
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-345) affecte openssl_encrypt.
Consultez l'avis de l'éditeur pour les versions affectées de openssl_encrypt.
Gravité : Critique (CVSS 9.8/10). L'exploitation peut entraîner la prise de contrôle totale du système.
Mettre à jour vers la version corrigée selon l'avis éditeur.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'openssl_encrypt' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
openssl_encryptを grep し、稼働しているサービス・バージョンを把握する。 -
2Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory vulncheck.com
- package github.com
- web github.com
- web nvd.nist.gov
- web github.com
- web github.com