CVE-2026-74887
Publiée le 2026-08-17 · Dernière modification le 2026-08-31
La bibliothèque Python `openssl_encrypt` (versions antérieures à 1.4.0) importe un générateur de nombres aléatoires non cryptographique qui n'est pas adapté aux enjeux de sécurité. Bien qu'aucune fonctionnalité actuelle ne soit réellement affectée, cela crée un risque que de futures mises à jour puissent utiliser accidentellement des nombres prévisibles pour des clés de chiffrement ou des jetons. S'agissant d'un défaut architectural latent plutôt que d'un bug actif, un attaquant distant ne dispose d'aucun moyen immédiat de l'exploiter aujourd'hui.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
openssl_encrypt before 1.4.0 imports Python's non-cryptographic 'random' module (Mersenne Twister PRNG) at line 15 of openssl_encrypt/modules/pqc.py. No direct calls to random.* were present in the code, so no cryptographic operation is currently affected; however, the import creates a hazard that future code could inadvertently use random.randint() instead of a cryptographically secure alternative (secrets/os.urandom), producing predictable values since the Mersenne Twister state can be recovered from approximately 624 outputs. Fixed by removing the import in 1.4.0.