したがって、ALAS2023-2026-2136 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    問題のサマリー:未加工 RFC7250 公開鍵(RPK)が有効で、秘密鍵(関連証明書なし)のみがローカルで構成されているサーバーまたはクライアント構成では、リモートピアが生の公開鍵を要求し、また通常省略されるsignature_algorithms_cert TLS拡張も送信するときに、NULLポインターのデリファレンスが発生する可能性があります。

    影響のサマリー:影響は、アプリケーションの中止、データ漏えい、リモートコマンドの実行が不可能な結果として引き起こされる可能性があるサービス拒否に限定されます。

    CWE:CWE-476:NULL ポインターデリファレンス

    説明:ドキュメントのサンプル コードの受け渡しコメントは、キーのみの RPK 構成がサポートされていることを示唆していますが、ベスト プラクティスの RPK 構成は、常に対応する証明書を構成することです(自己署名または都合の良い CA によって署名された証明書)。

    秘密鍵が一致する証明書とともに構成されている場合、修正がなくてもthesignature_algorithms_cert拡張機能は確実に処理され、生の公開鍵をサポートしないピアのクライアントまたはサーバーは、対応する証明書またはその公開鍵をピン留めまたは検証することで、TLS接続を完了できる可能性があります。

    証明書のない秘密鍵のみの設定を行うデプロイメントは、以下に記載されているように、更新済みリリースにアップグレードする必要があります。

    FIPS の影響:いいえ

    SSLプロトコルの実装はOpenSSL FIPSモジュールの境界の外にあるため、この問題の影響を受けるSSLモジュールはありません。(CVE-2026-14457)

    問題のサマリー:最初のパケットのチャネル作成が失敗した場合、QUIC サーバーが QRX(QUIC レコードレイヤー RX)オブジェクトを二重解放する可能性があります。

    影響のサマリー:二重解放によりヒープの破損が引き起こされ、通常はQUICサーバープロセスの中断が発生し、サービス拒否につながります。この二重解放がリモートコードの実行に悪用可能であるという証拠は今のところなく、この可能性は低いと考えられます。

    CWE:CWE-415:ダブルフリー

    説明:最初のパケットを検証するために、OpenSSL QUIC スタック defaultpacket ハンドラー(port_default_packet_handler())はいわゆる QRX オブジェクトを作成します。最初のパケットが QRX オブジェクトで正常に検証されると、デフォルトのパケットハンドラーはチャネル(接続オブジェクト)の作成に進みます。
    パケット検証に使用される QRX オブジェクトは port_bind_channel() に渡されるため、新しく作成された接続の一部になります。port_bind_channel()が失敗した場合、QRXオブジェクトも解放します。port_bind_channel() が返されると、port_default_packet_handler() は失敗を検出し、エラー ブランチに進み、同じ QRX オブジェクトが 2 回目に解放されます。

    port_bind_channel() 関数の失敗は、無効な形式の(RFC 9000 に準拠していない)INITIAL パケットによって比較的少ない労力で誘発される可能性があります。パケットが 8 バイトより短い DCID(宛先接続 ID)を運ぶと、ossl_quic_lcidm_enrol_odcid() が DCID の無効な長さを検出した後、thenport_bind_channel() はエラーパスにジャンプします。

    FIPS の影響:いいえQUIC 実装は OpenSSL FIPS モジュールの境界外にあるため、FIPS モジュールは影響を受けません。(CVE-2026-18798)

    問題のサマリー:ハンドシェイクの進行中に未来のエポックの DTLS レコードを受信すると、OpenSSL はレコード自体が必要とするよりもはるかに多くのメモリをバッファリングします。

    影響のサマリー:ピアが少量のネットワークトラフィックを使用して、OpenSSL DTLSエンドポイントに不釣り合いに大量のメモリを保持させ、サービス拒否を引き起こす可能性があります。

    CWE:CWE-405:非対称リソース消費(増幅)

    説明:DTLSハンドシェイクの進行中、ピアはローカルエンドポイントが同じトランジションを処理する前に、すでに次のエポックに進んでいる(例:ChangeCipherSpecメッセージとFinishedメッセージを送信している)可能性があります。これは、通常、下層のUDPトランスポートでの順序変更が原因です。OpenSSL は、ローカルエンドポイントが追いついたら処理できるように、このような初期のレコードをバッファー処理します。

    現在、レコードをバッファリングすることで、到着した読み取りバッファ全体が保持されます。これは、レコード自体を構成するバイトだけでなく、可能な最大の DTLS レコード(約 16 キロバイト)を保持するようにサイズ調整されます。このようなレコードは、接続ごとに最大 100 個までバッファリングできます。結果として、nextepoch に属すると主張する小さな偽造レコードのストリームを送信するピアにより、OpenSSL DTLS エンドポイントが、そのデータ量のほんの一部しかネットワーク経由で送信しないにもかかわらず、約 1.7 メガバイトのメモリを保持する可能性があります。

    したがって、攻撃者は約1200のメモリ増幅係数を獲得し、開くことができる限り多くの関連付けにまたがる効果を倍増させることができます。これにより、DTLSサーバーのリモートメモリ枯渇サービス拒否リスクが発生します。接続ごとに保持されるメモリは制限されたままであり、アプリケーションが同時関連付けの数にすでに設定している制限は、総エクスポージャーも制限するため、この問題は重要度低として評価されています。

    FIPS の影響:いいえ

    影響を受けるコードが OpenSSL FIPS モジュール境界の外部にあるため、FIPS モジュールはこの問題の影響を受けません。

    OpenSSL 4.0、 3.6、 3.5、 3.4、 3.0、 1.1.1 および 1.0.2 は、この問題に対して脆弱です。

    OpenSSL 4.0 ユーザーは OpenSSL 4.0.2.OpenSSL にアップグレードする必要があります 3.6 ユーザーは OpenSSL 3.6.4.OpenSSL にアップグレードする必要があります 3.5 ユーザーは OpenSSL 3.5.8.OpenSSL にアップグレードする必要があります 3.4 ユーザーは OpenSSL 3.4.7.OpenSSL にアップグレードする必要があります 3.0 ユーザーは OpenSSL 3.0.22 にアップグレードする必要があります。

    プレミアムサポートのお客様に限定されます:OpenSSL 1.1.1 ユーザーは、OpenSSL 1.1.1にアップグレードする必要があります。 OpenSSL 1.0.2 ユーザーは、OpenSSL 1.0.2zr にアップグレードする必要があります。

    この問題は、2026 年 5 月 18 日に Amazon Web Services によって報告されました。この修正は Matt Caswell によって開発されました。

    -- cut(内部使用のための非公開メタデータ) --報告者:Amazon Web Services修正者:Matt Caswell(CVE-2026-54874)

    問題のサマリー:OpenSSL CMS 復号化は、ラップ解除されたキーサイズをクエリする key-unwrap 出力バッファのサイズを調整しますが、AES-WRAP-PAD unwrap プリミティブは、そのクエリレポートよりも多くのバイトを書き込みおよび消去できるため、8 バイトの領域外ヒープ書き込みが発生します。

    影響のサマリー:細工されたCMSメッセージを提供する攻撃者は、被害者がCMS_decrypt()でメッセージを復号化するときに、決定論的な8バイトの領域外ヒープ書き込みをトリガーし、ヒープを破損させ、通常はサービス拒否を引き起こす可能性があります。

    CWE:CWE-787:領域外書き込み

    説明:key-wrap OIDは、ワイヤ上で攻撃者が制御する可能性があります。CMS ラップ解除により、id-aesNNN-wrap-pad および id-aesNNN-wrap 暗号の両方が許可されます。攻撃者が、正当なメッセージを受け取り、単一の OID バイトを変更して、それ以外の場合は有効なメッセージのままに、パディングされたバリアントを選択する可能性があります。ラップ解除キーは受信者のプライベート操作(ECDH keyagreement または ML-KEM カプセル化解除)から派生するため、RFC 5649 整合性チェックは通過できず、復号化は整合性の失敗で失敗します。

    書き込みは、割り当てを過ぎた固定サイズ(8 バイト)、固定値(ゼロ)のヒープオーバーフローであり、特別な構成を必要とせず、パブリック CMS_decrypt() 関数から到達可能です。その結果、ヒープ破損が発生し、サービス拒否が引き起こされます。CMS の修正では、ラップ解除の出力バッファを最悪の場合にコードサイズ設定しているため、失敗したラップ解除は割り当てを超えて書き込むことができません。

    FIPS の影響:いいえ

    CMS コードは FIPS モジュールの境界の外に存在するため、この CVE の影響を受ける FIPS モジュールはありません。
    (CVE-2026-63072)

    問題のサマリー:OpenSSL CMP 応答検証は、予期せぬ responsesender 識別名を書式文字列として直接「ERR_raise_data()」に渡しました。

    影響の概要:悪意のある、または傍受されたCMPエンドポイントにより、CMPクライアントがクラッシュする可能性があります。これにより、想定された送信者を強制するか、件名がデフォルトの予期された送信者になるピニングされたサーバー証明書が使用されます。

    CWE:CWE-134(外部制御書式文字列の使用)

    説明:受信したCMPメッセージを検証するとき、ossl_cmp_msg_check_update()はピア指定の送信者識別名をX509_NAME_oneline()で変換し、フォーマット引数として直接ERR_raise_data()に渡します。パーセント文字は変換後に残るため、CN=%s%n reachesBIO_vsnprintf() などの送信者 DN は攻撃者の制御する書式文字列となり、一致する variadicArguments は存在しません。このパスは、呼び出し側が expectedsender を構成するか、サーバー証明書をピン留めする場合にのみ到達します。これは、サーバー応答を検証する aCMP クライアントの通常の構成です。

    攻撃者は書式文字列を制御するが、variadicArguments のいずれも制御しないため、%s や %n などの指定子は、unrelatedstack のコンテンツを逆参照または書き通し、クライアントをクラッシュします。応答が悪意のある、または傍受されたCMPエンドポイントからのものである場合、信頼できる結果としてサービス拒否が引き起こされます。コントロールされたメモリ書き込み、任意のアドレス読み取り、またはリモートコード実行への信頼できるパスはありません。

    FIPS の影響:いいえ

    CMPプロトコルの実装はOpenSSL FIPSモジュールの境界外にあるため、FIPSモジュールはこの問題の影響を受けません。(CVE-2026-63073)

    問題のサマリー:OpenSSL Certificate Management Protocol(CMP)は、CMP メッセージで送信された追加証明書(extraCerts)をキャッシュしますが、(無効な場合など)削除することはありません。サーバーがOSSL_CMP_CTXfrequentlyを再利用すると、この extraCerts のキャッシュが際限なく増加し、悪意のあるクライアントがこの増加を促進するリクエストで CMP サーバーを殺到させる可能性があります。

    影響のサマリー:サーバープロセスの有効期間に単一のOSSL_CMP_CTXforを再利用するCMPサーバーを使用しているユーザーは、悪意のあるクライアントが一意のextra証明書を含むリクエストを繰り返し送信するときに、際限のないメモリ増加を観察する可能性があります。これはOOM状態につながる可能性があります。

    CWE:CWE-770:制限やスロットリングのないリソースの割り当て

    説明:リモートユーザーが extraCerts のリストを含む CMP メッセージをサーバーに送信し、メッセージが拒否された場合、メッセージからの extraCerts はサーバーコンテキストの信頼できない証明書スタックに残ります。これにより、長寿命の ctx オブジェクトを持つサーバーがサービス拒否攻撃にさらされ、攻撃者は、拒否されることを意図したメッセージを追加の証明書の大きなリストで繰り返し送信し、サーバーにそれらを無期限に保存させる可能性があります。この問題は、メッセージが拒否された場合、コンテキストがまったく docaching しないように構成されている場合と同じ方法を使用して、追加された余分な証明書を削除することで修正されました。

    FIPS の影響:いいえ CMP コードは FIPS モジュール境界の外に存在するため、この CVE の影響を受けない FIPS モジュールはありません。(CVE-2026-63074)

    問題のサマリー:OpenSSL が、ACK のみの応答を認識せずに ACK 誘出パケットを繰り返し送信するピアからの QUIC トラフィックを処理する場合、QUIC スタックは接続の有効期間にわたって ACK のみのパケットメタデータを保持する可能性があります。

    影響のサマリー:QUICハンドシェイクを完了できるリモートピアが、接続スコープでのメモリの増加を引き起こし、特に持続されたトラフィックや多数の同時QUIC接続がある場合に、メモリ枯渇を介してサービス拒否を引き起こす可能性があります。

    CWE:CWE-770:制限やスロットリングのないリソースの割り当て

    説明:OpenSSL QUICスタックがACKのみのパケットを送信するとき、ピアがACKのみのパケットを認識する(つまり、それ自体がACKを誘出しない)というQUICプロトコルによる要件はありません。
    ただし、OpenSSL実装は関係なくACKフレームに関するメタデータを保存します。それ自体は問題ありませんが、悪意のあるピアが接続を確立し、ACKのみのパケットがOpenSSL実装ピアから強制されるように接続を駆動し(つまり、多数のPINGフレームを送信することによって)、正当なデータなどの、ackを誘導するデータに対する後続のACKを保留した場合、その悪意のあるピアがOpenSSLピアで不適切なメモリ増加を強制する可能性があります。 これにより、サービス拒否を引き起こす可能性があります。

    この修正は、ACK のみのパケットメタデータ自体を実際に保存せずに、パケット履歴の高ウォーターマークとローウォーターマークで ACK のみパケットの転送を確実に考慮するためのものです。

    FIPS の影響:いいえ。OpenSSL FIPS モジュールは影響を受けません。これは、QUIC コードが FIPS モジュールの境界外にあるためです。(CVE-2026-63075)

    問題のサマリー:OpenSSL CMP パスワードベースの保護検証は、protectionAlg パラメーターを PBMParameter として処理する前に、その NULL でなく、ASN.1 タイプでないかどうかをチェックするだけです。細工されたメッセージには、異なるタイプのパラメーターが含まれる可能性があり、このパラメーターは無効なポインターとして逆参照されます。

    影響のサマリー:リモートの認証されていない攻撃者が、PBMで保護されたメッセージを受け入れるCMPサーバーとして機能するアプリケーション、または悪意のあるCMPサーバーまたは傍受されたCMPサーバーと通信するCMPクライアントをクラッシュさせ、サービス拒否を引き起こす可能性があります。

    CWE:CWE-476:NULL ポインターデリファレンス

    説明:CMPmessageのパスワードベースのMAC保護を検証するとき、OpenSSLライブラリはprotectionAlgアルゴリズムパラメーター withX509_ALGOR_get0()を読み取り、パラメーターの種類とその値ポインターの両方を返します。次に、その値はASN1_STRINGにキャストされ、ポインターが NULL ではないことだけをチェックした後、期待される PBMParameter として扱われます。X509_ALGOR_get0() によって返されるパラメーター型は、一度も参照されていませんでした。

    これは、MACが計算される前の保護検証中に発生するため、PBM共有秘密の知識は必要ありません。唯一の前提条件は、PBM 検証が到達可能であることです。サーバー側では、PBMで保護されたメッセージを受け入れるCMPserverを立ち上げるアプリケーションに対してfromOSSL_CMP_SRV_process_request()に達し、クライアント側では悪意のあるサーバーまたはオンパス(MITM)サーバーに対するCMPresponse検証からこれに達します。信頼できる結果はサービス拒否です。メモリの漏洩、制御されたメモリ書き込み、コード実行へのパスはありません。CMP は、アプリケーションが明示的に有効にする必要がある特殊な機能です。

    FIPS の影響:いいえ CMP コードは FIPS モジュール境界の外に存在するため、FIPS モジュールはこの CVE の影響を受けません。(CVE-2026-63076)

    EVP_Cipher() のタグを確認します。Poly1305 および OCB AEAD(CVE-2026-75803)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023: openssl、openssl-devel、openssl-fips-provider-latest (ALAS2023-2026-2136)

critical Nessus プラグイン ID 345807

バージョン 1.1