CVE-2026-74878: Contorno do limitador de taxa TOTP no openssl_encrypt
A CVE-2026-74878 afeta versões do openssl_encrypt anteriores à 1.4.0, nas quais a proteção contra força bruta de TOTP usa um limitador de taxa em memória. Esse limitador não é compartilhado entre workers e é perdido em reinicializações do servidor, o que permite contornar a proteção. A VulnCheck atribui CVSS 3.1 9.8 (Crítico), e o registro não informa exploração confirmada.
Visão geral
A CVE-2026-74878 foi publicada pela CNA VulnCheck e trata do projeto openssl_encrypt (Jahlives Openssl Encrypt) em versões anteriores à 1.4.0. Segundo o registro, a proteção contra força bruta de TOTP depende de um limitador de taxa em memória que não é compartilhado entre workers e é reiniciado quando o servidor reinicia.
Impacto
O registro indica que um atacante pode distribuir tentativas de autenticação entre várias instâncias do servidor, ou tentar novamente logo após uma reinicialização, para contornar a limitação de taxa. A fraqueza é classificada como CWE-770 (Alocação de Recursos Sem Limites ou Controle de Vazão). A VulnCheck atribui CVSS 3.1 9.8 (Crítico), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, e o registro também lista CVSS 4.0 9.3.
Produtos afetados e versões
- Jahlives Openssl Encrypt, versões < 1.4.0
- O registro não informa uma versão corrigida específica. A entrada de correção é do tipo mitigação e aponta para o aviso do fornecedor.
Status de exploração
- A CVE não consta no catálogo KEV da CISA.
- O campo de exploração do SSVC está registrado como none.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Consulte o aviso do fornecedor GHSA-h45m-mgcp-q388 e aplique a mitigação descrita.
- Planeje a atualização para uma versão que o fornecedor confirme como corrigida, provavelmente a 1.4.0 ou superior; confirme a versão exata nas notas de lançamento do fornecedor.
- Enquanto isso, não dependa apenas de limitação por processo para TOTP. Adote defesa em profundidade, como limitação centralizada e persistente na camada de autenticação ou na borda.
Orientação para detecção
- Monitore os logs de autenticação em busca de volumes incomuns de falhas de TOTP, sobretudo distribuídas entre contas, endereços de origem, nós ou janelas de tempo.
- Observe rajadas de falhas logo após reinicializações ou implantações do serviço.
- Correlacione tentativas falhas entre todas as instâncias, em vez de contá-las por nó.
Limitações das informações disponíveis
- O registro não identifica a versão exata corrigida nem a data da correção.
- Não informa se a mitigação do fornecedor elimina totalmente a fraqueza ou apenas a reduz.
- A entrada EPSS tem data posterior à publicação; sua relação temporal com o aviso não pode ser confirmada pelo registro.
- Nenhuma prova de conceito pública ou relato de exploração por terceiros é citado no registro.
Perguntas frequentes
Quais versões do openssl_encrypt são afetadas?
O registro lista as versões do Jahlives Openssl Encrypt anteriores à 1.4.0 como afetadas.
Esta vulnerabilidade está sendo explorada na prática?
A CVE não consta no KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
O que os administradores devem fazer agora?
Consulte o aviso GHSA-h45m-mgcp-q388, planeje a atualização para uma versão confirmada como corrigida e adicione limitação centralizada e persistente com monitoramento de falhas de TOTP.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.