CVE-2026-81690

Nome do Software Vulnerável e Versões Afetadas openssl-encrypt versões anteriores a 1.4.9

Descrição Uma falha de seguimento de link simbólico (symlink) existe na varredura de lista de permissões de arquivos adicionados do verify-usb v2. A varredura utiliza a função rglob(), que no CPython não desce em diretórios linkados simbolicamente e trata o link simbólico como um diretório comum. Enquanto isso, o O NOFOLLOW no lado do hash vincula apenas o componente final do caminho. Um invasor com acesso físico a uma unidade removível poderia substituir um diretório de árvore de ferramentas por um link simbólico para uma cópia contendo arquivos idênticos em bytes e um arquivo pycache /*.pyc implantado. Como o CPython carrega esses arquivos compilados preferencialmente em vez de recompilar os arquivos .py limpos, e o arquivo implantado não é enumerado durante a varredura, a variável added files permanece em 0. Isso faz com que o verify-usb reporte um status PASSED, resultando na execução de código quando a vítima executa a instalação portátil.

Recomendações Atualize para a versão 1.4.9.