विंडोज पर openssl, बिल्ड मशीन से सेट किए गए openssldir के साथ निर्मित (अनियंत्रित खोज पथ तत्व (Uncontrolled Search Path Element))

CVE-2026-34054 vcpkg द्वारा प्रबंधित OpenSSL के विंडोज बिल्ड को प्रभावित करता है, जो एक मुफ्त और ओपन-सोर्स C/C++ पैकेज मैनेजर है। संस्करण 3.6.1#3 से पहले, vcpkg openssldir वेरिएबल को बिल्ड मशीन पर एक पथ पर सेट करता था। इसका मतलब था कि इस पथ और संबंधित OpenSSL कॉन्फ़िगरेशन को सॉफ़्टवेयर इंस्टॉलेशन के दौरान ग्राहक मशीनों पर स्थानांतरित किया जा सकता था। एक हमलावर सैद्धांतिक रूप से इस पथ का दुरुपयोग करने या उस तक अनधिकृत पहुंच की अनुमति देने पर एप्लिकेशन की सुरक्षा से समझौता कर सकता है। CVSS स्कोर 7.8 मध्यम गंभीरता की भेद्यता का संकेत देता है।

Organizations that utilize vcpkg for building C/C++ applications on Windows, particularly those relying on OpenSSL for secure communication or data encryption, are at risk. This includes developers, DevOps teams, and system administrators involved in the build and deployment pipelines. Shared hosting environments where multiple users build applications using a common vcpkg installation are also particularly vulnerable.

• windows / supply-chain:

Get-ChildItem -Path "C:\Program Files\vcpkg\installed\x64-windows\bin\openssl.exe" -ErrorAction SilentlyContinue | Select-Object -ExpandProperty FullName

• linux / server:

find / -name "openssl.cnf" -print 2>/dev/null

• generic web:

curl -I https://example.com | grep openssldir

1. 2026-03-31Disclosure

   disclosure

1. आरक्षित2026-03-25
2. प्रकाशित2026-03-31
3. संशोधित2026-04-02
4. EPSS अद्यतन2026-04-07

इस समस्या का समाधान vcpkg को संस्करण 3.6.1#3 या बाद के संस्करण में अपडेट करना है। यह संस्करण openssldir की गलत सेटिंग को ठीक करता है और इंस्टॉलेशन प्रक्रिया के दौरान पथ को सही ढंग से सेट करता है, जिससे बिल्ड मशीन पथ को ग्राहक मशीनों पर स्थानांतरित होने से रोका जा सकता है। इस जोखिम को कम करने के लिए जल्द से जल्द vcpkg को अपडेट करने की दृढ़ता से अनुशंसा की जाती है। इसके अतिरिक्त, अपने प्रोजेक्ट की निर्भरता की समीक्षा करें ताकि यह सुनिश्चित हो सके कि वे vcpkg और OpenSSL के सुरक्षित संस्करण का उपयोग कर रहे हैं। इस भेद्यता से खुद को बचाने के लिए अपडेट सबसे महत्वपूर्ण कदम है।