badkeys受影响版本漏洞CVE-2026-21439

badkeys是开源Python工具与库，核心用于检测加密公钥中的已知漏洞，支持多种格式（PEM 密钥、X.509 证书、CSR、SSH 公钥等）。

一、基本情况

badkeys是用于检查已知漏洞的加密公钥的工具和库，由安全研究员Hanno Böck 主导，轻量无复杂依赖，适配 Linux/macOS/Windows。

badkeys其实是个密钥安全的“体检工具”，通过自动化检测帮助快速排查公钥中的已知漏洞，适用于从开发到运维的全流程密钥安全管理。

badkeys 可扫描本地文件或远程 TLS/SSH 主机，帮助开发者、运维与安全人员排查密钥风险，从而避免使用弱密钥或受漏洞影响的密钥。

栋科技漏洞库关注到 badkeys 受影响版本中存在一个字符注入攻击漏洞，漏洞现已追踪为CVE-2026-21439，漏洞的CVSS 4.0评分为2.0。

二、漏洞分析

CVE-2026-21439漏洞存在于 badkeys 在版本0.0.15及以下版本中，使其易受到通过错误输入在控制台上进行的 ASCII 控制字符注入攻击。

攻击者可能通过注入包含ASCII控制字符（如垂直制表符、ANSI转义序列等）的内容，这些内容可能导致badkeys命令行工具的输出误导。

因此，该漏洞会影响DKIM密钥（包括--dkim和--dkim-dns）、SSH密钥（--ssh-lines模式）以及各种模式下的文件名扫描。

三、影响范围

badkeys <= 0.0.15

四、修复建议

badkeys >= 0.0.16

五、参考链接

管理员已设置登录后刷新可查看