ニュース
「OpenSSL」に18件のセキュリティ欠陥、修正版が一斉リリース
最大深刻度は「High」、任意コード実行につながる恐れも
2026年6月10日 17:49
SSL/TLSプロトコルを実装したオープンソースライブラリ「OpenSSL」の開発チームは6月9日（日本時間）、「OpenSSL」のセキュリティアップデートを実施した。以下のバージョンが利用可能。
- OpenSSL 4.0.1（18件）
- OpenSSL 3.6.3（17件）
- OpenSSL 3.5.7（15件）
- OpenSSL 3.4.6（13件）
- OpenSSL 3.0.21（9件）
今回のアップデートで修正された脆弱性は、以下の通り。なかでももっとも深刻なのは「CVE-2026-45447」（High）で、すべてのバージョンに影響する。細工された「PKCS#7」「S/MIME」署名メッセージを処理する際にクラッシュやヒープ破壊が発生し、コード実行につながる恐れがあるため、できるだけ早い対応が望ましい。
- CVE-2026-45447：「PKCS7_verify()」関数におけるヒープメモリのuse-after-free（解放後利用）（High）
- CVE-2026-34182：CMS（Cryptographic Message Syntax）の「AuthEnvelopedData」処理で、偽造されたメッセージを受け入れてしまう可能性（Moderate）
- CVE-2026-34183：QUICの「PATH_CHALLENGE」ハンドラーにおける無制限のメモリ消費。サービス拒否（DoS）などにつながる（Moderate）
- CVE-2026-35188：OCSPステープリング応答の検証時に発生するダブルフリー（二重解放）。DoSのほか、コード実行などにつながる恐れもある（Moderate）
- CVE-2026-42764：QUICサーバーの初期パケット処理におけるNULLポインター参照。サービス拒否（DoS）などにつながる恐れがある（Moderate）
- CVE-2026-45445：「EVP_Cipher()」経由で「AES-OCB」を利用する際、IV（初期化ベクトル）が無視される問題。通信傍受の恐れがある（Moderate）
- CVE-2026-7383：ASN.1マルチバイト文字列変換におけるヒープバッファーオーバーフローの可能性。クラッシュやコード実行などの恐れがある（Low）
- CVE-2026-9076：パスワードベースのCMS復号における範囲外読み取り。DoSなどにつながる恐れ（Low）
- CVE-2026-34180：ASN.1コンテンツ解析におけるヒープバッファーの範囲外読み取りにより、DoSなどが発生する恐れがある（Low）
- CVE-2026-34181：短いHMACキーを指定した「PBMAC1」整合性保護付きの「PKCS#12」ファイルを受け入れてしまう問題。証明書と秘密鍵の偽造が可能になる恐れがある（Low）
- CVE-2026-42765：OCSPチェックを伴う証明書検証におけるNULL参照。DoSの恐れがある（Low）
- CVE-2026-42766：パスワードベースのCMS復号におけるNULL参照の可能性。DoSの恐れがある（Low）
- CVE-2026-42767：CRMF（Certificate Request Message Format）の「EncryptedValue」復号におけるNULLポインター参照。DoSの恐れがある（Low）
- CVE-2026-42768：「CMS_decrypt()」「PKCS7_decrypt()」における複数「RecipientInfo」を悪用したBleichenbacherオラクル攻撃を受ける恐れ（Low）
- CVE-2026-42769：CMP「rootCaKeyUpdate」処理のcert/issuer取り違えによるトラストアンカーの置き換え。ルートCA証明書変更の恐れがある（Low）
- CVE-2026-42770：FFC-DHのピア検証で攻撃者が指定した「q」値を使用してしまう問題。秘密鍵を復元される恐れ（Low）
- CVE-2026-42771：「X509_VERIFY_PARAM_set1_email()」における範囲外読み取りの可能性。DoSの恐れ（Low）
- CVE-2026-45446：「AES-GCM-SIV」「AES-SIV」モードにおける空メッセージのタグ処理の誤り。任意のAAD（追加認証データ）を含む空のメッセージを偽造できる恐れ（Low）
なお、「OpenSSL 1.1.1」「OpenSSL 1.0.2」系統にもセキュリティアップデートがあるが、一般向けのサポートは終了しており、修正版（v1.1.1zh、v1.0.2zq）を入手できるのはプレミアムサポート契約者だけだ。
Amazonで購入
