JVNDB-2026-010224

Cryptographyにおける証明書検証に関する脆弱性

cryptographyは、Python開発者に暗号プリミティブとレシピを提供するために設計されたパッケージです。バージョン46.0.6以前では、DNS名制約は子証明書内のSANに対してのみ検証されており、各検証時に提示される「ピア名」には検証が行われていませんでした。そのため、cryptographyは、ピア名bar.example.comが*.example.comのワイルドカードリーフ証明書に対して検証を通過していました。これはリーフの親証明書（または上位証明書）がbar.example.comに対する除外サブツリー制約を含んでいた場合でも同様の状況が発生していました。この問題はバージョン46.0.6で修正されています。

Cryptography

• Cryptography 46.0.6 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : X.509: bypass of name constraints on wildcard SANs with matching peer names  Advisory  pyca/cryptography  GitHub

1. 不正な証明書検証(CWE-295) [その他]

1. CVE-2026-34073

1. National Vulnerability Database (NVD) : CVE-2026-34073

• [2026年04月08日]
    掲載