🔴 CVE-2026-74876: Critical Schwachstelle

„`html

Zusammenfassung

Die Schwachstelle CVE-2026-74876 betrifft openssl_encrypt-Versionen vor 1.4.0 und ermöglicht einen kritischen Signaturverifikations-Bypass in der Funktion PublicKeyBundle.from_dict(). Angreifer können manipulierte öffentliche Schlüssel ohne Authentizitätsprüfung laden und zur Verschlüsselung von Daten nutzen, was zur Offenlegung vertraulicher Informationen führt.

Betroffene Systeme

• openssl_encrypt < 1.4.0
• Alle Plattformen mit anfälliger Bibliotheksversion
• Anwendungen, die PublicKeyBundle.from_dict() für Schlüsselbündelimporte nutzen

Technische Details

Schwachstelle: Die Funktion PublicKeyBundle.from_dict() validiert Signaturen von Schlüsselbündeln nicht korrekt. Angreifer können beliebige öffentliche Schlüssel in den Konstruktor einschleusen.

Angriffsablauf:

1. Angreifer erstellt manipulierte Schlüsselbündel mit eigenen öffentlichen Schlüsseln
2. from_dict() importiert diese ohne Signaturprüfung
3. to_identity() konvertiert die gefälschten Schlüssel in gültige Identitäten
4. Opfersystem nutzt die Schlüssel zur Verschlüsselung
5. Angreifer entschlüsselt mit seinen privaten Schlüsseln

CVSS 9.8 (Critical): Netzwerkangriffsvektor, niedrige Komplexität, keine Authentifizierung erforderlich, hoher Impact auf Vertraulichkeit.

Empfohlene Massnahmen

• Sofortige Mitigation: openssl_encrypt auf Version 1.4.0 oder höher aktualisieren
• Interim-Lösung: Manuelle Signaturverifikation vor from_dict() implementieren
• Überwachung: Logs auf verdächtige Schlüsselbündelimporte überprüfen
• Umgebung: Betroffene Systeme isolieren bis Patch verfügbar ist
• Audit: Überprüfung aller mit manipulierten Schlüsseln verschlüsselten Daten

Bewertung

Risiko: Kritisch | CVSS: 9.8 | Patch Status: Ausstehend

Diese Sicherheitslücke erfordert sofortige Aufmerksamkeit. Die fehlende Signaturverifikation gefährdet den gesamten Verschlüsselungsmechanismus und muss als Sicherheitsnotfall behandelt werden.

„`