リモートのDebian 13ホストには、dsa-6531アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6531-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 9 月 30 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ:openssl CVE ID: CVE-2026-35189 CVE-2026-35191 CVE-2026-42772 CVE-2026-54872 CVE-2026-54873 CVE-2026-54875 CVE-2026-72897 CVE-2026-75804 CVE-2026-75805 CVE-2026-75806 CVE-2026-77696 CVE-2026-84782 CVE-2026-84784

    複数の脆弱性が、Secure Sockets Layer のツールキットである OpenSSL で発見されました。これにより、サービス拒否、情報漏洩、または秘密鍵の復元が引き起こされる可能性があります。

    詳細については、次の Upstream アドバイザリを参照してください:
    https://openssl-library.org/news/secadv/20260929.txt

    安定版(stable)ディストリビューション(trixie)では、これらの問題はバージョン 3.5.7-1~deb13u3 で修正されています。

    openssl パッケージをアップグレードすることをお勧めします。

    openssl の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/openssl

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 問題のサマリー:QUIC ストリーム再アセンブリアルゴリズムのパフォーマンスは、パケットの到着が順番に狂うと徐々に劣化します。最悪の場合、受信したストリームデータのためにバッファに保持されているストリームフレームの数に比例する二次複雑度があります。影響のサマリー:ハンドシェイクを完了するリモートのQUICピアが、アドバタイズされた受信ウィンドウ内の準拠するSTREAMフレームを使用して、接続範囲のCPUプレッシャーを引き起こし、低い攻撃者の帯域幅でサービス拒否を引き起こす可能性があります。CWE:CWE-407:
    非効率なアルゴリズムの複雑性 説明:OpenSSL は、二重にリンクされたリストを使用して、受信した QUIC ストリームフラグメントを管理します。追加操作(リストの最後)に最適化されますが、現在の「tail」の直後に続かないフラグメントについては、頭から尾までの線形検索にフォールバックします。オフセットのシーケンスを操作することにより、攻撃者はサーバーに O(n^2) 操作を強制し、QUIC プロセスに過剰な CPU 時間を消費させる可能性があります。FIPS impact: FIPS モジュールは、この問題による影響を受けません。これは、QUIC 実装が OpenSSL FIPS モジュール境界の外にあるためです。(CVE-2026-42772)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている OpenSSL は、3.5.9 より前のバージョンです。したがって、3.5.9 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 問題のサマリー: DTLS 再送信ロジックが、途中で中断されたハンドシェイクメッセージ書き込みを正しく処理しません。再送信されたメッセージはメッセージバッファを越えて読み取られる可能性があり、再送信は中断された書き込みが適切に再開する必要がある内部状態を上書きします。影響のサマリー: 再送信されたメッセージは、ヒープメモリを平文のハンドシェイクデータとしてピアに漏えいしたり、マップされていないメモリ領域まで読み取りが到達するとクラッシュやサービス拒否を引き起こす可能性があります。CWE: CWE-125: 領域外読み取り 説明: DTLS ハンドシェイクメッセージは複数のフラグメントで書き出すことができ、下層のトランスポートが一時的にそれ以上のデータを受け入れることができない場合、書き込みはメッセージの途中 (WANT_WRITE を返す) で一時的に中断できます。このような書き込みが中断されている間、DTLS 再送信タイマーは独立して起動し、再送信ロジックに再送信キューから既に送信済みのメッセージを再送信するように依頼する可能性があります。
    再送信ロジックは、位置を再送信中のメッセージの先頭にリセットすることなく、まだ書き込み中であるメッセージと同じ内部バッファおよび位置追跡を再利用していました。
    結果として、再送信は、中断された書き込みが中断した場所から開始され、誤ってラベルの付けられたメッセージが生成され、その本文にはまだ送信中の他の大きなメッセージからのバイトが混ざることになります。その内容は、その時点で送信されるはずのないものであり、割り当てられたバッファの終端を越える可能性があります。これとは別に、再送信の位置が正しい場合でも、別の書き込みが中断されている間に再送信を完了まで実行できるようになると、中断された書き込みが再開するために依存している同じ共有ブックキーピングが上書きされます。アプリケーションが後に中断された書き込み (後続の SSL_read()、SSL_write()、SSL_accept()、または SSL_connect() 呼び出しを介して) を再開するとき、メッセージと矛盾した状態のブックキーピングが見つかり、デバッグビルドのプロセスが中止されます。この修正は、再送信の読み取り位置をメッセージの先頭にリセットしてから再送信します。また、ハンドシェイク書き込みがまだ中断中であれば必ず再送信を完全にスキップし、代わりに再開する次の呼び出しまで延期します。FIPS impact: FIPS モジュールは、この問題による影響を受けません。(CVE-2026-84782)

  - 問題のサマリー: 多数の nameRelativeToCRLIssuer CRL 配布ポイントを持つ証明書は、OpenSSL が X.509 拡張をキャッシュする際に不均衡なヒープの増加を引き起こします。影響のサマリー: 悪意のあるピアから細工された証明書を受け取ると、メモリが大幅に圧迫され、クライアント証明書を要求するクライアントまたはサーバーでサービス拒否が発生する可能性があります。CWE: CWE-770: 制限やスロットリングのないリソースの割り当て 説明: ピアから受け入れられる証明書のサイズ制限 (~100 KiB) に収まる証明書または証明書のセットにより、通常の TLS ハンドシェイク中に受信側に数百 MiB の常駐メモリが割り当てられる可能性があります。複数の同時接続が同様に大きなメモリ割り当てにつながる場合、これはクライアントまたはサーバーをクラッシュさせるのに十分かもしれません。この修正では、証明書の CRL 配布ポイント拡張の処理を、CRL 処理に処理値が必要となるまで遅らせます。このようにして、こうした証明書を受信した時に、大量のメモリ割り当てを長時間保持することを回避します。FIPS impact: FIPS モジュールは、この問題による影響を受けません。(CVE-2026-35189)

  - 問題の概要: アドレス検証を行わないように設定された OpenSSL の QUIC サーバーでは、受信パケットが未検証クレジットの計算で複数回カウントされるように攻撃者が仕向けることができ、RFC 9000 で定められた、未検証の接続において受信データ量の 3 倍を上限とする増幅制限に違反する可能性があります。影響の概要: OpenSSL の QUIC 実装を使用するサーバーに対してパケットを偽装して送信できるリモートの攻撃者は、そのサーバーを DDoS 攻撃の増幅に利用する可能性があります。CWE: CWE-440: 期待される動作への違反。説明: サーバーとして動作する OpenSSL の QUIC スタックは、ピアアドレスがトラフィック増幅攻撃に利用されないことを確認するため、クライアントのアドレス検証 (RFC 9000、セクション 8) を実施します。サーバーでこの機能が無効になっている場合、QUIC スタックは、TLS ハンドシェイクが完了するまで、サーバーから送信できるデータ量をピアアドレスから受信したデータ量の 3 倍に制限します。非検証モードで動作する OpenSSL の QUIC サーバーは、データグラム内の各 QUIC パケットを処理する際に、受信したデータグラム全体の長さを未検証クレジットの上限に加算します。リモートピアは、最初の Client Hello フレームで接続を確立した後、複数の QUIC パケットを含む後続のデータグラムを送信することで、サーバーにデータグラム内の各パケットについてデータグラム全体の長さを計上させる可能性があります。その結果、サーバーはピアが実際よりも多くのデータを送信したと認識し、RFC で義務付けられている 3 倍の増幅制限に違反することになります。FIPS への影響: なし。QUIC スタックは FIPS モジュールの境界外にあるため、この CVE による FIPS モジュールへの影響はありません。
    (CVE-2026-35191)

  - 問題の概要: QUIC ストリーム再アセンブリアルゴリズムのパフォーマンスは、パケットの到着が順番に狂うと徐々に劣化します。最悪の場合、計算量は、受信したストリームデータ用のバッファーに保持されているストリームフレーム数に比例する二次計算量となります。影響の概要: ハンドシェイクを完了したリモートの QUIC ピアは、通知された受信ウィンドウ内で仕様に準拠した STREAM フレームを使用することで、接続単位で CPU に負荷をかけ、少ない攻撃者側の帯域幅でサービス拒否 (DoS) を引き起こす可能性があります。CWE: CWE-407:
    非効率なアルゴリズム計算量の説明: OpenSSL は、受信した QUIC ストリームのフラグメントを双方向リンクリストを使用して管理します。末尾への追加操作は最適化されていますが、現在の「tail」の直後に位置しないフラグメントについては、リストの先頭から末尾まで線形検索を行います。オフセットの順序を操作することで、攻撃者はサーバーに O(n^2) の処理を強制し、QUIC プロセスに過剰な CPU 時間を消費させることができます。FIPS impact: FIPS モジュールは、この問題による影響を受けません。これは、QUIC 実装が OpenSSL FIPS モジュール境界の外にあるためです。(CVE-2026-42772)

  - 問題のサマリー: 専用の実装を持たない曲線をもつ ECDSA および SM2 署名操作に使用される汎用楕円曲線のスカラー倍が、タイミングによって秘密ノンスに関する情報を漏洩します。影響のサマリー: 署名時間を測定できる攻撃者が、格子 / 隠し番号問題攻撃を介して秘密鍵を回復させて、多数の署名にわたって署名ごとの秘密ノンスに関する情報を知る可能性があります。CWE: CWE-208: 観察可能なタイミングの不一致 説明: 専用の定数時間実装を持たない曲線に使用される汎用楕円曲線スカラー乗算は、秘密スカラーを非定数時間 BIGNUM 演算付きで埋め込むため、かかる時間は ECDSA と SM2 ノンスから派生した秘密スカラー値に依存します。漏洩は非常にわずかです。観察するには、多数の測定が必要です。この効果は、brainpoolP384r1 のように、グループの順序が機械語の境界上にある曲線で最大になります。Brainpool やその他の汎用素数曲線を介する ECDSA 署名、ならびに汎用実装を使用するプラットフォームで SM2 署名を使用するアプリケーションは、この問題に対して脆弱です。NIST 曲線 P-256、P-384、P-521 は専用の定数時間実装を使用しており、影響を受けません。FIPS impact: FIPS モジュールは影響を受けません: FIPS プロバイダーで使用される承認済みの NIST カーブには専用の定数時間実装があり、影響を受けるコードパスを使用しません。(CVE-2026-54872)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 26.04 LTS ホストには、USN-8861-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    OpenSSL の QUIC ストリーム再アセンブリ実装に、非効率的なアルゴリズムが含まれていることが判明しました。
    リモートの攻撃者がこの問題を悪用してOpenSSLにCPUリソースを過剰に使用させ、サービス拒否につながる可能性があります。(CVE-2026-42772)

    OpenSSL が QUIC パケットバッファに割り当てられたメモリを適切に制限しなかったことが判明しました。リモートの攻撃者がこの問題を悪用してOpenSSLに過剰なメモリリソースを使用させ、サービス拒否を引き起こす可能性があります。(CVE-2026-54873)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている OpenSSL は、4.0.3 より前のバージョンです。したがって、4.0.3 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 問題のサマリー:DTLS 再送信ロジックが、途中で中断されたハンドシェイクメッセージ書き込みを正しく処理しません。再送信されたメッセージは、メッセージバッファを越えて読み取られる可能性があり、再送信は、中断された書き込みが適切に再開する必要がある内部状態を上書きします。影響のサマリー:再送信されたメッセージは、ヒープメモリを平文のハンドシェイクデータとしてピアに漏えいしたり、読み取りがマップされていないメモリ領域に到達するとクラッシュやサービス拒否を引き起こす可能性があります。CWE:CWE-125:領域外読み取り 説明:DTLS ハンドシェイクメッセージは複数のフラグメントで書き出すことができ、下層のトランスポートが一時的にそれ以上のデータを受け入れることができない場合、書き込みはメッセージの途中(WANT_WRITEを返す)で一時的に中断できます。このような書き込みが中断されている間、DTLS 再送信タイマーは独立して起動し、再送信ロジックに再送信キューから既に既に送信済みのメッセージを再送信するように依頼する可能性があります。
    再送信ロジックは、位置を再送信中のメッセージの先頭にリセットすることなく、まだ書き込まれているメッセージと同じ内部バッファおよび位置追跡を再利用しました。
    結果として、再送信は、中断された書き込みが中断した場所から開始され、誤ってラベルの付けられたメッセージが生成され、その本文はまだ飛行中の大きなメッセージからのバイトが残っています。その時点で送信されるはずのないコンテンツで、割り当てられたバッファの終端を越える可能性があります。これとは別に、再送信の位置が正しい場合でも、別の書き込みが中断されている間に再送信を完了まで実行できるようになると、中断された書き込みが再開するために依存しているのと同じ共有簿記が上書きされます。アプリケーションが後に中断された書き込みを(後続のSSL_read()、SSL_write()、SSL_accept()、またはSSL_connect()呼び出しを介して)再開するとき、メッセージと矛盾した状態の簿記が見つかり、デバッグビルドでプロセスを中止します。この修正は、再送信の読み取り位置をメッセージの先頭にリセットしてから再送信します。また、ハンドシェイク書き込みが中断中であれば必ず再送信を完全にスキップし、代わりに再開する次の呼び出しまで延期します。FIPS の影響:いいえ 影響を受けるコードは、FIPS モジュールの境界外にあります。(CVE-2026-84782)

  - 問題のサマリー:多数の nameRelativeToCRLIssuer CRL ディストリビューションポイントを持つ証明書は、OpenSSL が X.509 拡張をキャッシュする際に、不均衡なヒープの増加を引き起こします。影響のサマリー:悪意のあるピアから細工された証明書を受け取ると、メモリが大幅に圧迫され、クライアント証明書を要求するクライアントまたはサーバーでサービス拒否が発生する可能性があります。CWE:CWE-770:制限やスロットリングのないリソースの割り当て 説明:ピアから受け入れられる証明書のサイズ制限(~100 KiB)に収まる証明書または証明書のセットにより、通常のTLSハンドシェイク中に受信側に数百MiBの常駐メモリが割り当てられる可能性があります。複数の同時接続が同様に大きなメモリ割り当てにつながる場合、これはクライアントまたはサーバーをクラッシュさせるのに十分かもしれません。この修正では、証明書のCRL配布ポイント拡張の処理を、CRL処理に処理値が必要となる時間に延期します。こうした証明書を受信した時に、大量のメモリ割り当てを長時間保持することが回避されます。FIPS の影響:いいえ 影響を受けるコードは、FIPS モジュールの境界外にあります。(CVE-2026-35189)

  - 問題のサマリー:OpenSSL QUIC サーバーは、アドレス検証を実行しないように構成されている場合、未検証のクレジット計算で着信パケットを複数回カウントするように強制される可能性があります。これにより、受信データ量の 3 倍である RFC 9000 未検証接続増幅制限の違反につながります。影響のサマリー:OpenSSL QUIC実装を使用してパケットをサーバーに偽装できるリモートの攻撃者が、そのサーバーをDDoS攻撃の増幅に使用する可能性があります。CWE:CWE-440:予想される動作 違反 説明:OpenSSL の QUIC スタックは、サーバーとして動作するとき、クライアントアドレスの検証を強制します(RFC 9000、セクション 8)、ピアアドレスがトラフィック増幅攻撃に使用されていないことを確認します。サーバーでこの機能が無効になっている場合、QUICスタックは、TLSハンドシェイクが完了するまで、送信できるサーバーデータ量をピアアドレスから受信したデータ量の3倍に制限します。OpenSSL QUIC サーバーが非検証モードで動作している場合、受信したデータグラム全体の長さを、データグラム内の各 QUIC パケットを処理するときに未検証のクレジット制限に加算します。リモートピアが、初期クライアントの hello フレームで接続を確立した後、複数の QUIC パケットを含む後続のデータグラムを送信することがあり、これによりサーバーがデータグラム内の各パケットのデータグラムの長さ全体を計算し、結果としてピアが実際よりも多くのデータを送信したとサーバーが判断し、RFC で義務付けられている 3x 増幅制限に違反します。FIPS の影響:いいえ QUIC スタックは FIPS モジュール境界の外に存在するため、この CVE の影響を受ける FIPS モジュールはありません。
    (CVE-2026-35191)

  - 問題のサマリー:QUIC ストリーム再アセンブリアルゴリズムのパフォーマンスは、パケットの到着が順番に狂うと徐々に劣化します。最悪の場合、受信したストリームデータのためにバッファに保持されているストリームフレームの数に比例する二次複雑度があります。影響のサマリー:ハンドシェイクを完了するリモートのQUICピアが、アドバタイズされた受信ウィンドウ内の準拠するSTREAMフレームを使用して、接続範囲のCPUプレッシャーを引き起こし、低い攻撃者の帯域幅でサービス拒否を引き起こす可能性があります。CWE:CWE-407:
    非効率なアルゴリズムの複雑性 説明:OpenSSL は、二重にリンクされたリストを使用して、受信した QUIC ストリームフラグメントを管理します。追加操作(リストの最後)に最適化されますが、現在の「tail」の直後に続かないフラグメントについては、頭から尾までの線形検索にフォールバックします。オフセットのシーケンスを操作することにより、攻撃者はサーバーに O(n^2) 操作を強制し、QUIC プロセスに過剰な CPU 時間を消費させる可能性があります。FIPS impact: FIPS モジュールは、この問題による影響を受けません。これは、QUIC 実装が OpenSSL FIPS モジュール境界の外にあるためです。(CVE-2026-42772)

  - 問題のサマリー:専用の実装を持たない曲線をもつ ECDSA および SM2 署名操作に使用される汎用楕円曲線のスカラー倍が、タイミングを通じて秘密のノンスに関する情報を漏洩します。影響のサマリー:署名時間を測定できる攻撃者が、多数の署名にわたって、格子/隠し番号問題攻撃を介して、秘密鍵の回復を引き起こすことができる、署名ごとの秘密の nonce に関する情報を知る可能性があります。CWE:CWE-208:観察可能なタイミングの不一致 説明:専用の定数時間実装を持たない曲線に使用される汎用楕円曲線スカラー乗算は、秘密のスカラーを非定数時間BIGNUM演算で埋め込むため、かかる時間はECDSAとSM2 nonceから派生した秘密のスカラーの値に依存します。漏れは非常に小さいです。それを観察するには、多数の測定が必要です。この効果は、brainpoolP384r1 のように、グループの順序が機械語の境界上にある曲線で最大になります。Brainpoolやその他の汎用素数曲線を介してECDSA署名、ならびに汎用実装を使用するプラットフォームでSM2署名を使用するアプリケーションは、この問題に対して脆弱です。NIST 曲線 P-256、P-384 および P-521 は専用の定数時間実装を使用しており、影響を受けません。FIPS の影響:いいえ FIPS モジュールは影響を受けません:FIPS プロバイダーで使用される承認済みの NIST カーブには専用の定数時間実装があり、影響を受けるコードパスを使用しません。(CVE-2026-54872)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている OpenSSL は、3.4.8 より前のバージョンです。したがって、3.4.8 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 問題のサマリー:DTLS 再送信ロジックが、途中で中断されたハンドシェイクメッセージ書き込みを正しく処理しません。再送信されたメッセージは、メッセージバッファを越えて読み取られる可能性があり、再送信は、中断された書き込みが適切に再開する必要がある内部状態を上書きします。影響のサマリー:再送信されたメッセージは、ヒープメモリを平文のハンドシェイクデータとしてピアに漏えいしたり、読み取りがマップされていないメモリ領域に到達するとクラッシュやサービス拒否を引き起こす可能性があります。CWE:CWE-125:領域外読み取り 説明:DTLS ハンドシェイクメッセージは複数のフラグメントで書き出すことができ、下層のトランスポートが一時的にそれ以上のデータを受け入れることができない場合、書き込みはメッセージの途中(WANT_WRITEを返す)で一時的に中断できます。このような書き込みが中断されている間、DTLS 再送信タイマーは独立して起動し、再送信ロジックに再送信キューから既に既に送信済みのメッセージを再送信するように依頼する可能性があります。
    再送信ロジックは、位置を再送信中のメッセージの先頭にリセットすることなく、まだ書き込まれているメッセージと同じ内部バッファおよび位置追跡を再利用しました。
    結果として、再送信は、中断された書き込みが中断した場所から開始され、誤ってラベルの付けられたメッセージが生成され、その本文はまだ飛行中の大きなメッセージからのバイトが残っています。その時点で送信されるはずのないコンテンツで、割り当てられたバッファの終端を越える可能性があります。これとは別に、再送信の位置が正しい場合でも、別の書き込みが中断されている間に再送信を完了まで実行できるようになると、中断された書き込みが再開するために依存しているのと同じ共有簿記が上書きされます。アプリケーションが後に中断された書き込みを(後続のSSL_read()、SSL_write()、SSL_accept()、またはSSL_connect()呼び出しを介して)再開するとき、メッセージと矛盾した状態の簿記が見つかり、デバッグビルドでプロセスを中止します。この修正は、再送信の読み取り位置をメッセージの先頭にリセットしてから再送信します。また、ハンドシェイク書き込みが中断中であれば必ず再送信を完全にスキップし、代わりに再開する次の呼び出しまで延期します。FIPS の影響:いいえ 影響を受けるコードは、FIPS モジュールの境界外にあります。(CVE-2026-84782)

  - 問題のサマリー:多数の nameRelativeToCRLIssuer CRL ディストリビューションポイントを持つ証明書は、OpenSSL が X.509 拡張をキャッシュする際に、不均衡なヒープの増加を引き起こします。影響のサマリー:悪意のあるピアから細工された証明書を受け取ると、メモリが大幅に圧迫され、クライアント証明書を要求するクライアントまたはサーバーでサービス拒否が発生する可能性があります。CWE:CWE-770:制限やスロットリングのないリソースの割り当て 説明:ピアから受け入れられる証明書のサイズ制限(~100 KiB)に収まる証明書または証明書のセットにより、通常のTLSハンドシェイク中に受信側に数百MiBの常駐メモリが割り当てられる可能性があります。複数の同時接続が同様に大きなメモリ割り当てにつながる場合、これはクライアントまたはサーバーをクラッシュさせるのに十分かもしれません。この修正では、証明書のCRL配布ポイント拡張の処理を、CRL処理に処理値が必要となる時間に延期します。こうした証明書を受信した時に、大量のメモリ割り当てを長時間保持することが回避されます。FIPS の影響:いいえ 影響を受けるコードは、FIPS モジュールの境界外にあります。(CVE-2026-35189)

  - 問題のサマリー:QUIC ストリーム再アセンブリアルゴリズムのパフォーマンスは、パケットの到着が順番に狂うと徐々に劣化します。最悪の場合、受信したストリームデータのためにバッファに保持されているストリームフレームの数に比例する二次複雑度があります。影響のサマリー:ハンドシェイクを完了するリモートのQUICピアが、アドバタイズされた受信ウィンドウ内の準拠するSTREAMフレームを使用して、接続範囲のCPUプレッシャーを引き起こし、低い攻撃者の帯域幅でサービス拒否を引き起こす可能性があります。CWE:CWE-407:
    非効率なアルゴリズムの複雑性 説明:OpenSSL は、二重にリンクされたリストを使用して、受信した QUIC ストリームフラグメントを管理します。追加操作(リストの最後)に最適化されますが、現在の「tail」の直後に続かないフラグメントについては、頭から尾までの線形検索にフォールバックします。オフセットのシーケンスを操作することにより、攻撃者はサーバーに O(n^2) 操作を強制し、QUIC プロセスに過剰な CPU 時間を消費させる可能性があります。FIPS impact: FIPS モジュールは、この問題による影響を受けません。これは、QUIC 実装が OpenSSL FIPS モジュール境界の外にあるためです。(CVE-2026-42772)

  - 問題のサマリー:専用の実装を持たない曲線をもつ ECDSA および SM2 署名操作に使用される汎用楕円曲線のスカラー倍が、タイミングを通じて秘密のノンスに関する情報を漏洩します。影響のサマリー:署名時間を測定できる攻撃者が、多数の署名にわたって、格子/隠し番号問題攻撃を介して、秘密鍵の回復を引き起こすことができる、署名ごとの秘密の nonce に関する情報を知る可能性があります。CWE:CWE-208:観察可能なタイミングの不一致 説明:専用の定数時間実装を持たない曲線に使用される汎用楕円曲線スカラー乗算は、秘密のスカラーを非定数時間BIGNUM演算で埋め込むため、かかる時間はECDSAとSM2 nonceから派生した秘密のスカラーの値に依存します。漏れは非常に小さいです。それを観察するには、多数の測定が必要です。この効果は、brainpoolP384r1 のように、グループの順序が機械語の境界上にある曲線で最大になります。Brainpoolやその他の汎用素数曲線を介してECDSA署名、ならびに汎用実装を使用するプラットフォームでSM2署名を使用するアプリケーションは、この問題に対して脆弱です。NIST 曲線 P-256、P-384 および P-521 は専用の定数時間実装を使用しており、影響を受けません。FIPS の影響:いいえ FIPS モジュールは影響を受けません:FIPS プロバイダーで使用される承認済みの NIST カーブには専用の定数時間実装があり、影響を受けるコードパスを使用しません。(CVE-2026-54872)

  - 問題のサマリー:QUIC プロセスが必要以上の期間、QUIC パケットバッファ用のメモリを保持する可能性があります。
    影響のサマリー:リモートピアは、悪意を持って細工されたパケットを送信することでこの脆弱性を悪用し、ローカルのQUICスタックを作成してパケットバッファ用のメモリを割り当てたままにする可能性があります。メモリが割り当てられたままになる時間は、悪意のある可能性があるリモートピアによって完全に制御されます。CWE:CWE-770:
    制限やスロットリングのないリソースの割り当て説明: パケットバッファからストリームリアセンブルバッファへのコピー操作を保存するために、QUICスタックはストリームデータをパケットバッファに残し、ローカル受信アプリケーションによって提供されるバッファにコピーされるのを待ちます。QUICスタックは、データがアプリケーションバッファにコピーされた後にのみ、パケットバッファへの参照を解放します。この設計は、正当なデータ転送に対してはより効率的ですが、攻撃者が、受信ストリームバッファに保持されるデータに対して実際に必要とされるよりもはるかに多くのメモリを割り当てる可能性があります。この脆弱性を軽減するために、QUIC スタックはすべてのストリームのメモリオーバーヘッドを計算して監視するようになりました。1 つのストリームフレームのメモリオーバーヘッドは、ストリームフレームを伝送するパケット全体のサイズとストリームフレーム自体のサイズとの差として計算されます。単一ストリームフレームのメモリオーバーヘッドは、各ストリームで QUIC スタックが保持する合計 (累積) メモリオーバーヘッドに追加されます。累積メモリオーバーヘッドが 64KB を超えると、QUIC スタックは、次に受信したパケットから始めて、ストリームフレームデータをパケットバッファからストリームバッファに移動します。FIPS impact: FIPS モジュールは、この問題による影響を受けません。これは、QUIC 実装が OpenSSL FIPS モジュール境界の外にあるためです。(CVE-2026-54873)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている OpenSSL は、3.6.5 より前のバージョンです。したがって、3.6.5 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 問題のサマリー: DTLS 再送信ロジックが、途中で中断されたハンドシェイクメッセージ書き込みを正しく処理しません。再送信されたメッセージはメッセージバッファを越えて読み取られる可能性があり、再送信は中断された書き込みが適切に再開する必要がある内部状態を上書きします。影響のサマリー: 再送信されたメッセージは、ヒープメモリを平文のハンドシェイクデータとしてピアに漏えいしたり、マップされていないメモリ領域まで読み取りが到達するとクラッシュやサービス拒否を引き起こす可能性があります。CWE: CWE-125: 領域外読み取り 説明: DTLS ハンドシェイクメッセージは複数のフラグメントで書き出すことができ、下層のトランスポートが一時的にそれ以上のデータを受け入れることができない場合、書き込みはメッセージの途中 (WANT_WRITE を返す) で一時的に中断できます。このような書き込みが中断されている間、DTLS 再送信タイマーは独立して起動し、再送信ロジックに再送信キューから既に送信済みのメッセージを再送信するように依頼する可能性があります。
    再送信ロジックは、位置を再送信中のメッセージの先頭にリセットすることなく、まだ書き込み中であるメッセージと同じ内部バッファおよび位置追跡を再利用していました。
    結果として、再送信は、中断された書き込みが中断した場所から開始され、誤ってラベルの付けられたメッセージが生成され、その本文にはまだ送信中の他の大きなメッセージからのバイトが混ざることになります。その内容は、その時点で送信されるはずのないものであり、割り当てられたバッファの終端を越える可能性があります。これとは別に、再送信の位置が正しい場合でも、別の書き込みが中断されている間に再送信を完了まで実行できるようになると、中断された書き込みが再開するために依存している同じ共有ブックキーピングが上書きされます。アプリケーションが後に中断された書き込み (後続の SSL_read()、SSL_write()、SSL_accept()、または SSL_connect() 呼び出しを介して) を再開するとき、メッセージと矛盾した状態のブックキーピングが見つかり、デバッグビルドのプロセスが中止されます。この修正は、再送信の読み取り位置をメッセージの先頭にリセットしてから再送信します。また、ハンドシェイク書き込みがまだ中断中であれば必ず再送信を完全にスキップし、代わりに再開する次の呼び出しまで延期します。FIPS impact: FIPS モジュールは、この問題による影響を受けません。(CVE-2026-84782)

  - 問題のサマリー: 多数の nameRelativeToCRLIssuer CRL 配布ポイントを持つ証明書は、OpenSSL が X.509 拡張をキャッシュする際に不均衡なヒープの増加を引き起こします。影響のサマリー: 悪意のあるピアから細工された証明書を受け取ると、メモリが大幅に圧迫され、クライアント証明書を要求するクライアントまたはサーバーでサービス拒否が発生する可能性があります。CWE: CWE-770: 制限やスロットリングのないリソースの割り当て 説明: ピアから受け入れられる証明書のサイズ制限 (~100 KiB) に収まる証明書または証明書のセットにより、通常の TLS ハンドシェイク中に受信側に数百 MiB の常駐メモリが割り当てられる可能性があります。複数の同時接続が同様に大きなメモリ割り当てにつながる場合、これはクライアントまたはサーバーをクラッシュさせるのに十分かもしれません。この修正では、証明書の CRL 配布ポイント拡張の処理を、CRL 処理に処理値が必要となるまで遅らせます。このようにして、こうした証明書を受信した時に、大量のメモリ割り当てを長時間保持することを回避します。FIPS impact: FIPS モジュールは、この問題による影響を受けません。(CVE-2026-35189)

  - 問題の概要: アドレス検証を行わないように設定された OpenSSL の QUIC サーバーでは、受信パケットが未検証クレジットの計算で複数回カウントされるように攻撃者が仕向けることができ、RFC 9000 で定められた、未検証の接続において受信データ量の 3 倍を上限とする増幅制限に違反する可能性があります。影響の概要: OpenSSL の QUIC 実装を使用するサーバーに対してパケットを偽装して送信できるリモートの攻撃者は、そのサーバーを DDoS 攻撃の増幅に利用する可能性があります。CWE: CWE-440: 期待される動作への違反。説明: サーバーとして動作する OpenSSL の QUIC スタックは、ピアアドレスがトラフィック増幅攻撃に利用されないことを確認するため、クライアントのアドレス検証 (RFC 9000、セクション 8) を実施します。サーバーでこの機能が無効になっている場合、QUIC スタックは、TLS ハンドシェイクが完了するまで、サーバーから送信できるデータ量をピアアドレスから受信したデータ量の 3 倍に制限します。非検証モードで動作する OpenSSL の QUIC サーバーは、データグラム内の各 QUIC パケットを処理する際に、受信したデータグラム全体の長さを未検証クレジットの上限に加算します。リモートピアは、最初の Client Hello フレームで接続を確立した後、複数の QUIC パケットを含む後続のデータグラムを送信することで、サーバーにデータグラム内の各パケットについてデータグラム全体の長さを計上させる可能性があります。その結果、サーバーはピアが実際よりも多くのデータを送信したと認識し、RFC で義務付けられている 3 倍の増幅制限に違反することになります。FIPS への影響: なし。QUIC スタックは FIPS モジュールの境界外にあるため、この CVE による FIPS モジュールへの影響はありません。
    (CVE-2026-35191)

  - 問題の概要: QUIC ストリーム再アセンブリアルゴリズムのパフォーマンスは、パケットの到着が順番に狂うと徐々に劣化します。最悪の場合、計算量は、受信したストリームデータ用のバッファに保持されているストリームフレーム数に比例する二次計算量となります。影響の概要: ハンドシェイクを完了したリモートの QUIC ピアは、通知された受信ウィンドウ内で仕様に準拠した STREAM フレームを使用することで、接続単位で CPU に負荷をかけ、少ない攻撃者側の帯域幅でサービス拒否 (DoS) を引き起こす可能性があります。CWE: CWE-407:
    非効率なアルゴリズム計算量の説明: OpenSSL は、受信した QUIC ストリームのフラグメントを双方向リンクリストを使用して管理します。末尾への追加操作は最適化されていますが、現在の「tail」の直後に位置しないフラグメントについては、リストの先頭から末尾まで線形検索を行います。オフセットの順序を操作することで、攻撃者はサーバーに O(n^2) の処理を強制し、QUIC プロセスに過剰な CPU 時間を消費させることができます。FIPS impact: FIPS モジュールは、この問題による影響を受けません。これは、QUIC 実装が OpenSSL FIPS モジュール境界の外にあるためです。(CVE-2026-42772)

  - 問題のサマリー: 専用の実装を持たない曲線をもつ ECDSA および SM2 署名操作に使用される汎用楕円曲線のスカラー倍が、タイミングによって秘密ノンスに関する情報を漏洩します。影響のサマリー: 署名時間を測定できる攻撃者が、格子 / 隠し番号問題攻撃を介して秘密鍵を回復させて、多数の署名にわたって署名ごとの秘密ノンスに関する情報を知る可能性があります。CWE: CWE-208: 観察可能なタイミングの不一致 説明: 専用の定数時間実装を持たない曲線に使用される汎用楕円曲線スカラー乗算は、秘密スカラーを非定数時間 BIGNUM 演算付きで埋め込むため、かかる時間は ECDSA と SM2 ノンスから派生した秘密スカラー値に依存します。漏洩は非常にわずかです。観察するには、多数の測定が必要です。この効果は、brainpoolP384r1 のように、グループの順序が機械語の境界上にある曲線で最大になります。Brainpool やその他の汎用素数曲線を介する ECDSA 署名、ならびに汎用実装を使用するプラットフォームで SM2 署名を使用するアプリケーションは、この問題に対して脆弱です。NIST 曲線 P-256、P-384、P-521 は専用の定数時間実装を使用しており、影響を受けません。FIPS impact: FIPS モジュールは影響を受けません: FIPS プロバイダーで使用される承認済みの NIST カーブには専用の定数時間実装があり、影響を受けるコードパスを使用しません。(CVE-2026-54872)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、0d183075-bcb5-11f1-b09d-8447094a420f のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    OpenSSL プロジェクトによる報告

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
351475	Debian dsa-6531:libcrypto3-udeb - セキュリティ更新	Nessus	Debian Local Security Checks	2026/9/30	2026/10/2	high
351205	Linux Distros のパッチ未適用の脆弱性: CVE-2026-42772	Nessus	Misc.	2026/9/29	2026/10/14	medium
352190	OpenSSL 3.5.0< 3.5.9複数の脆弱性	Nessus	Web Servers	2026/9/30	2026/10/2	high
362522	Ubuntu 26.04 LTS : OpenSSL の脆弱性 (USN-8861-1)	Nessus	Ubuntu Local Security Checks	2026/10/2	2026/10/2	high
352189	OpenSSL 4.0.0< 4.0.3複数の脆弱性	Nessus	Web Servers	2026/9/30	2026/10/2	high
352191	OpenSSL 3.4.0< 3.4.8複数の脆弱性	Nessus	Web Servers	2026/9/30	2026/10/2	high
352194	OpenSSL 3.6.0< 3.6.5複数の脆弱性	Nessus	Web Servers	2026/9/30	2026/10/2	high
353457	FreeBSD: OpenSSL -- 複数の脆弱性 (0d183075-bcb5-11f1-b09d-8447094a420f)	Nessus	FreeBSD Local Security Checks	2026/10/1	2026/10/2	high
365185	Amazon Linux 2023: openssl、openssl-devel、openssl-fips-provider-latest (ALAS2023-2026-3204)	Nessus	Amazon Linux Local Security Checks	2026/10/12	2026/10/12	high

検出

プラグインの検索

high

medium

high

high

high

high

high

high

high