FICHE CVE

CVE-2026-21439

Publiée le 2026-01-06 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les utilisateurs de l'outil `badkeys` (version 0.0.15 et versions antérieures) sont concernés s'ils analysent des clés contenant des caractères de contrôle ou des séquences d'échappement ANSI spécialement conçus. Un attaquant peut utiliser ces caractères pour manipuler l'affichage de l'outil en ligne de commande, pouvant ainsi induire un administrateur en erreur en lui faisant croire qu'une clé vulnérable est sécurisée. Cela nécessite que l'attaquant vous fournisse au préalable une clé malveillante que vous analyseriez localement.

CVSS 4.02.0 FAIBLE

Type de faiblesse

CWE-150

Publiée2026-01-06

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitPreuve de concept

RÉFÉRENCES

Description officielle du NVD (en anglais)

badkeys is a tool and library for checking cryptographic public keys for known vulnerabilities. In versions 0.0.15 and below, an attacker may inject content with ASCII control characters like vertical tabs, ANSI escape sequences, etc., that can create misleading output of the badkeys command-line tool. This impacts scanning DKIM keys (both --dkim and --dkim-dns), SSH keys (--ssh-lines mode), and filenames in various modes. This issue is fixed in version 0.0.16.