AlmaLinux 9.2 [TuxCare] セキュリティ更新プログラム:openssl/openssl-devel/openssl-libs/openssl-perlの複数の脆弱性(ALMALINUX9.2:CLSA-2026:1782152259)

critical Nessus プラグイン ID 362097

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1782152259アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- 問題のサマリー:Cryptographic Message Services(CMS)処理が、AuthEnvelopedData コンテナの暗号およびタグ長フィールドで十分な入力検証を実行できず、これにより、さまざまな潜在的なセキュリティ侵害が引き起こされる可能性があります。影響のサマリー:攻撃者が、これらの脆弱性を悪用して、特定のCMS受信者に対してキーと同等の機能を実現したり、特定のメッセージに対して整合性検証をバイパスしたりする可能性があります。
ある使用例では、攻撃者は、非AEAD暗号として指定された暗号を持つAuthEnvelopedDataを含むCMSメッセージを送信する可能性があります。OpenSSL は誤ってこの選択を許可し、メッセージの復号化と検証を試みます。被害者宛ての正当な AES-GCM AuthEnvelopedData を 1 つキャプチャしたオンパス攻撃者が、recipientInfos セットをバイト単位でそのままにして再放出できます。したがって、被害者の秘密鍵は依然として本物の CEK(コンテンツ暗号化キー)をラップ解除しますが、内部 OID は AES-256-OFB(出力フィードバックモード、認証されていないキーストリームモード)に書き換えられ、攻撃者が選択した IV と暗号文で書き換えられます。
被害者は本物の CEK で AES-256-OFB を初期化し、MAC フィールドとは決して参照せず、CMS_decrypt() は成功を返します。攻撃されているアプリケーションが復号化作業の成功または失敗を示す何らかのインジケーターで攻撃者に応答した場合、攻撃者はこれをoracleとして使用して、選択したメッセージ受信者に使用されるCEKと同等のキー機能性を取得する可能性があります。別の使用例では、攻撃者が特定のAuthEnvelopedDataコンテナ用に選択したAEAD暗号のタグ長を1バイト長に減らすことで、攻撃者がCMS復号をブルートフォースし、CMS_decrypt()を信頼して変更されたコンテンツを拒否するアプリケーションの整合性バイパスを引き起こす可能性があります。FIPS モジュールは、この問題の影響を受けません。(CVE-2026-34182)

- 問題のサマリー:EVP_PKEY_derive_set_peer() が DHX(X9.42)ピアキーで呼び出されたとき、ピアキーがサブグループメンバーシップに関して適切にチェックされません。影響のサマリー:被害者のpパラメーターとgパラメーターを運ぶX9.42キー、偽造されたq = r(補因子(p1)/q_localの小さな素因数)、rの命令の公開値Yを提示する悪意のあるピアが、少数の鍵交換の試行後に被害者の秘密鍵を復元する可能性があります。EVP_PKEY_derive_set_peer()がDHX(X9.42)ピアキーで呼び出されるとき、サブグループメンバーシップチェックY^q 1(mod p)は、ローカルキーのqではなく、ピア自身のqパラメーターを使用して実行されます。ピアのドメインパラメーターは秘密鍵のドメインパラメーターと照合されますが、q の値は比較されません。被害者の p、g、偽造された q = r(コファクターの小さな素因数)、および順序 r の公開値 Y を持つ X9.42 キーを提示する悪意のあるピアが、すべてのチェックに合格します。
共有秘密は r 個の個別の値のみを受け取り、priv mod r が漏洩します。補因子の小さな素因子ごとに繰り返し、CRT を介して組み合わせると、完全な秘密鍵が復元されます(LimLee / 小サブグループ閉じ込め攻撃)。現実的なアタックサーフェスは狭く、主に長寿命のRA/CA DHXキーを使用するCMPデプロイメントと、インタラクティブプロトコルを持つX9.42 DHX静的キーを使用する特注の企業または政府アプリケーションであるため、この問題の重要度は低に割り当てられました。4.0、3.6、3.5、3.4、3.1.2、および3.0のFIPSモジュールは、この問題の影響を受けます。(CVE-2026-42770)

- 問題のサマリー: アプリケーションがパブリック EVP_Cipher() ワンショットインターフェースから AES-OCB コンテキストを駆動するとき、アプリケーション提供の初期化ベクトル (IV) はサイレントに破棄されます。影響の概要:
同じキーで暗号化されたすべてのメッセージは、呼び出し元から供給された IV に関係なく、同じ有効なノンスを使用するため、(キー、ノンス) 再利用と機密性の喪失が発生します。認証タグの計算に同じコードパスを使用する場合、タグは (キー、IV) のペアにのみ依存し、平文や暗号文には依存しません。これにより、キャプチャされた単一のメッセージから任意の暗号文を普遍的に偽造することが可能です。OpenSSL には暗号化を駆動する方法として、ドキュメントに記載されているストリーミングインターフェース (EVP_CipherUpdate / EVP_CipherFinal_ex) と、より低レベルのワンショット方式である EVP_Cipher() の 2 つが用意されています。ただし、そのドキュメントでは、EVP_CipherUpdate() および EVP_CipherFinal_ex() の代わりに、アプリケーションによる使用を明示的に推奨していません。OCB プロバイダーのストリーミングハンドラーは、データを処理する前に、アプリケーション指定の IV を OCB コンテキストにフラッシュします。ワンショットハンドラーはそうではありませんでした。したがって、AES-OCB コンテキストの EVP_Cipher() へのすべての呼び出しは、呼び出し側の IV に関係なく、暗号の初期化によって残されたすべてゼロのキー派生のオフセット状態で実行されました。後で EVP_EncryptFinal_ex() を使用して認証タグを取得した場合、その時点で遅延 IV セットアップが実行され、平文に蓄積されているはずの実行チェックサムがクリアされます。結果のタグは (キー、IV) のみの関数であり、同じ (キー、IV) ペアの下で生成された暗号文に対して検証します。OpenSSL SSL/TLS 実装は影響を受けません。AES-OCB は TLS 暗号化パッケージではなく、libssl はいかなる場合でも EVP_Cipher() を呼び出しません。文書化されているストリーミング AEAD API (EVP_CipherUpdate / EVP_CipherFinal_ex) を通じて AES-OCB を駆動するアプリケーションは影響を受けません。AES-OCB 暗号と EVP_Cipher() ワンショット API を組み合わせたアプリケーションのみが脆弱です。4.0、3.6、3.5、3.4、3.0 の FIPS モジュールは、この問題による影響を受けません。これは、AES-OCB が OpenSSL FIPS モジュール境界の外部にあるためです。(CVE-2026-45445)

- 問題のサマリー: 特別に細工された PKCS#7 または S/MIME 署名付きメッセージにより、PKCS#7 署名認証中に use-after-free が発生する可能性があります。影響のサマリー: メモリ解放後使用 (use-after-free) により、プロセスのクラッシュ、ヒープの破損、またはリモートでのコード実行が引き起こされる可能性があります。PKCS#7 または S/MIME 署名付きメッセージを処理するときに、SignedData digestAlgorithms フィールドが空の ASN.1 SET として存在すると、OpenSSL が PKCS7_verify() 中に呼び出し元所有の BIO を不適切に解放する可能性があります。呼び出し元のアプリケーションが BIO をその後使用すると、メモリ解放後使用 (Use After Free) 状態になります。一般的なケースでは、これはアプリケーションが最初に PKCS7_verify() に渡された BIO で BIO_free() を後に呼び出すときに発生します。アロケーターの動作やアプリケーション固有の BIO 使用パターンによっては、これによりクラッシュやその他のメモリ破損が発生する可能性があります。一部のアプリケーションコンテキストでは、これがリモートコードの実行のために悪用される可能性があります。OpenSSL PKCS#7 API を使用して PKCS#7 または S/MIME 署名のあるメッセージを処理するアプリケーションが影響を受ける可能性があります。この処理に CMS API を使用するアプリケーションは影響を受けません。4.0、3.6、3.5、3.4、3.0 の FIPS モジュールは、この問題による影響を受けません。これは、影響を受けるコードが OpenSSL FIPS モジュール境界の外部にあるためです。(CVE-2026-45447)

- 問題のサマリー: ASN1_mbstring_ncopy() で Unicode 出力の宛先バッファをサイジングする際の符号付き整数オーバーフローが、ヒープバッファオーバーフローにつながる可能性があります。影響の概要: ヒープバッファオーバーフローにより、クラッシュや攻撃者による任意コード実行、またはその他の未定義の動作が発生する可能性があります。ASN1_mbstring_copy() と ASN1_mbstring_ncopy() では、BMPSTRING (UTF-16) と UNIVERSALSTRING (UTF-32) の入力文字カウントを左シフトし、UTF8STRING の文字ごとのバイト数を合計することによって、Unicode 出力のデスティネーションサイズは符号付き整数で計算されます。入力が約 2^30 文字に達すると、計算がオーバーフローします。最悪の場合 (2^30 文字の UNIVERSALSTRING)、サイズがゼロに折り返されると、OPENSSL_malloc(1) が呼び出され、後続の文字コピーが 1 バイトの割り当てを超えて数ギガバイトを書き込みます。X.509 証明書の処理は ASN1_STRING_set_by_NID() を経由しますが、この関数の DIRSTRING_TYPE マスクは UNIVERSALSTRING を除外しており、NID ごとのサイズ制限によって入力長が制限されています。OpenSSL のネットワークプロトコルや証明書処理パスにおいて、このオーバーフローが発生することはありません。このバグを発生させるには、ASN1_mbstring_copy() や ASN1_mbstring_ncopy() を直接呼び出すか、ASN1_STRING_TABLE_add() を介してカスタム文字列タイプを登録するアプリケーションが必要であり、攻撃者が制御する半ギガバイト以上の入力データが与えられる必要があります。以上の理由により、この問題は重要度低と評価されました。4.0、3.6、3.5、3.4、3.0 の FIPS モジュールは、この問題による影響を受けません。これは、影響を受けるコードが OpenSSL FIPS モジュール境界の外部にあるためです。(CVE-2026-7383)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。