База данных уязвимостей CVE

Версии openssl_encrypt до 1.4.0 принимают токены обновления в качестве параметров запроса URL-адреса в маршрутах сервера ключей и сервера телеметрии. Злоумышленники могут извлекать токены из журналов серверов, журналов прокси, истории браузера …

Версии openssl_encrypt до 1.4.0 содержат уязвимость раскрытия информации в конечной точке /ready, которая возвращает полные строки исключений базы данных неаутентифицированным абонентам. Злоумышленники могут вызвать ошибки базы данных для извлечения конфиденциальной …

В версиях openssl_encrypt до 1.4.0 используется ограничитель скорости в памяти для защиты от перебора TOTP, который не распределяется между рабочими процессами и теряется при перезапуске сервера. Злоумышленники могут распределить попытки …

Версии openssl_encrypt до 1.4.0 содержат недостающую уязвимость проверки владения в методе revoke_key, которая позволяет прошедшим проверку подлинности клиентам отозвать ключ любого другого клиента. Злоумышленники могут отозвать произвольные ключи, предоставив действительную …

Версии openssl_encrypt до 1.4.0 содержат уязвимость в PublicKeyBundle.from_dict(), которая создает пакеты ключей из ненадежных данных без проверки подписей. Злоумышленники могут вызвать from_dict(), а затем to_identity() без проверки подписи, чтобы зашифровать …

Версии openssl_encrypt до 1.4.0 автоматически пропускают проверку схемы JSON, если библиотека jsonschema не установлена, что позволяет принимать неверные метаданные. Злоумышленники могут удалить пакет jsonschema или предоставить неизвестные версии формата метаданных, …

В версиях openssl_encrypt до 1.4.0 используется некриптографический случайный модуль Python для стеганографического выбора пикселей в функцииgenerate_pseudorandom_sequence. Злоумышленники, знающие пароль, могут восстановить состояние Mersenne Twister примерно по 624 выходным данным и …

Версии openssl_encrypt до 1.4.0 предоставляют пароли, передаваемые через аргумент CLI --password, в списках процессов, доступных всем пользователям системы. Злоумышленники могут прочитать аргументы процесса через ps aux или /proc/[pid]/cmdline, чтобы получить …

Версии openssl_encrypt до 1.4.0 содержат уязвимость выполнения произвольного кода в реализации хэша Whirlpool, которая использует широкие шаблоны glob для загрузки модулей .so без проверки целостности. Злоумышленники могут размещать вредоносные файлы …

Версии openssl_encrypt до 1.4.6 содержат ошибку получения ключа в режиме последовательной композиции XOR, когда последний этап отменяется во время генерации ключа. При настройке с одним KDF и без предварительного этапа …