JVNDB-2026-002579

OpenSSL ProjectのOpenSSLにおける境界外書き込みに関する脆弱性

問題の概要: 改行を含まない大量のデータを、次のBIOが短い書き込みを行うBIOチェーンにおいて、行バッファリングフィルターを使用して書き込むと、ヒープベースの境界外書き込みが発生する可能性があります。影響の概要: この境界外書き込みはメモリ破損を引き起こし、通常はクラッシュを誘発し、その結果アプリケーションのサービス拒否（DoS）を招きます。行バッファリングBIOフィルター（BIO_f_linebuffer）はTLS/SSLデータパスではデフォルトで使用されません。OpenSSLのコマンドラインアプリケーションでは、通常VMSシステム上でのみstdout/stderrにプッシュされます。第三者のアプリケーションが、このフィルターを明示的にBIOチェーンと共に使用し、かつ攻撃者が影響を及ぼす大量の改行を含まないデータを書き込む場合に影響を受けます。ただし、このような状況が攻撃者の制御下にある可能性は低く、BIO_f_linebufferが攻撃者により制御される未管理データを処理する可能性も低いため、本問題の深刻度は低いと評価されました。バージョン3.6、3.5、3.4、3.3および3.0のFIPSモジュールは、この問題の影響を受けません。なぜならBIO実装がOpenSSL FIPSモジュールの境界外にあるためです。一方、OpenSSL 3.6、3.5、3.4、3.3、3.0、1.1.1および1.0.2はこの問題の影響を受けます。

OpenSSL Project

• OpenSSL 1.0.2 以上 1.0.2zn 未満
• OpenSSL 1.1.1 以上 1.1.1ze 未満
• OpenSSL 3.0.0 以上 3.0.19 未満
• OpenSSL 3.3.0 以上 3.3.6 未満
• OpenSSL 3.4.0 以上 3.4.4 未満
• OpenSSL 3.5.0 以上 3.5.5 未満
• OpenSSL 3.6.0 以上 3.6.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

OpenSSL Project

• OpenSSL Library : https://openssl-library.org/news/secadv/20260127.txt

1. 境界外書き込み(CWE-787) [その他]

1. CVE-2025-68160

1. National Vulnerability Database (NVD) : CVE-2025-68160
2. 関連文書 : Fix heap buffer overflow in BIO_f_linebuffer  openssl/openssl@475c466  GitHub
3. 関連文書 : Fix heap buffer overflow in BIO_f_linebuffer  openssl/openssl@68a7cd2  GitHub
4. 関連文書 : Fix heap buffer overflow in BIO_f_linebuffer  openssl/openssl@4c96fbb  GitHub
5. 関連文書 : Fix heap buffer overflow in BIO_f_linebuffer  openssl/openssl@6845c3b  GitHub
6. 関連文書 : Fix heap buffer overflow in BIO_f_linebuffer  openssl/openssl@3840112  GitHub

• [2026年02月04日]
    掲載