verify-usb before 1.4.9 Symlink Directory Traversal Code Execution

openssl-encrypt (pip package) before 1.4.9 contains a symlink-following flaw in its verify-usb v2 added-file allowlist scan. The scan enumerated the drive with rglob(), which in CPython does not descend into symlinked directories and treats the symlink as an ordinary directory, while O_NOFOLLOW on the hash side binds only the final path component. An evil-maid attacker with physical access to the removable drive could replace a tool-tree directory with a symlink to a copy containing byte-identical files plus a planted __pycache__/*.pyc file (which CPython loads in preference to recompiling the clean .py). The planted file is never enumerated, added_files stays 0, and verify-usb reports PASSED, resulting in code execution when the victim runs the portable install. Fixed in 1.4.9 (affects both 1.4.x and 1.5.x lines).

The Cyber Security Agency of Singapore included this CVE in its official Security Bulletin 2 Sept 2026, published on 2 September 2026. Open the linked bulletin for the product, severity and reference information published in that issue.

openssl-encrypt（pipパッケージ）バージョン1.4.9未満には、verify-usb v2のadded-file許可リストスキャンにおいてシンボリックリンク追従の脆弱性があります。このスキャンではrglob()を使ってドライブを列挙していましたが、CPythonではシンボリックリンクされたディレクトリに降りていかず、シンボリックリンクを通常のディレクトリとして扱います。一方、ハッシュ側のO_NOFOLLOWはパスの最終コンポーネントのみに適用されます。物理的にリムーバブルドライブにアクセス可能な悪意ある攻撃者は、ツールのディレクトリツリーの一部をシンボリックリンクに差し替えることで、同一のバイト内容を持つファイル群と、埋め込まれた__pycache__/*.pycファイル（CPythonはこれを優先的に読み込み、クリーンな.pyファイルの再コンパイルを回避します）を用意できます。埋め込まれたファイルは列挙されず、added_filesは0のままで、verify-usbはPASSEDを報告します。その結果、被害者がポータブルインストールを実行した際にコードが実行されてしまいます。この問題はバージョン1.4.9で修正されており、影響は1.4.x系と1.5.x系の両方に及びます。