openssl_encrypt до версии 1.4.9 не может проверить параметры стоимости KDF в зашифрованных метаданных файла и заголовках хранилища ключей, что позволяет злоумышленникам инициировать неограниченное выделение памяти. Злоумышленники могут создавать вредоносные зашифрованные файлы, объявляющие произвольно большие параметры Argon2, scrypt или всплывающие окна KDF, чтобы исчерпать системную память и привести к сбою процесса без аутентификации.
Показать оригинальное описание (EN)
openssl_encrypt before 1.4.9 fails to validate KDF cost parameters in encrypted file metadata and keystore headers, allowing attackers to trigger unbounded memory allocation. Attackers can craft malicious encrypted files declaring arbitrarily large Argon2, scrypt, or balloon KDF parameters to exhaust system memory and crash the process without authentication.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Jahlives Openssl_Encrypt
cpe:2.3:a:jahlives:openssl_encrypt:*:*:*:*:*:python:*:*
|
— |
1.4.9
|