JVNDB-2026-012475

openCryptoki ProjectのopenCryptokiにおける境界外読み取りに関する脆弱性

openCryptokiはPKCS#11ライブラリであり、LinuxおよびAIX向けのツールを提供しています。バージョン3.26.0以下では、共有の共通ライブラリ(asn1.c)内のBER/DERデコード関数が生のポインタを受け入れますが、バッファ長パラメータを受け取らず、実際のバッファ境界に対して検証せずに攻撃者が制御するBER長フィールドを信頼しています。すべてのプリミティブデコーダーが影響を受けます：ber_decode_INTEGER、ber_decode_SEQUENCE、ber_decode_OCTET_STRING、ber_decode_BIT_STRING、およびber_decode_CHOICEです。さらに、ber_decode_INTEGERはエンコードされた長さがゼロの場合に整数のアンダーフローを引き起こす可能性があります。攻撃者がC_CreateObjectやC_UnwrapKeyなどのPKCS#11操作、ディスクからのトークン読み込み、またはリモートバックエンド通信を介して不正なBERエンコードされた暗号オブジェクトを提供すると、境界外読み取りを引き起こす可能性があります。脆弱なコードが共有共通ライブラリに存在するため、すべてのトークンバックエンド(Soft、ICA、CCA、TPM、EP11、ICSF)に影響します。修正パッチはコミットed378f463ef73364c89feb0fc923f4dc867332a3で提供されています。

openCryptoki Project

• openCryptoki 3.26.0 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Memory safety vulnerabilities in BER/DER decoders in asn1.c  Advisory  opencryptoki/opencryptoki  GitHub

1. 境界外読み取り(CWE-125) [その他]

1. CVE-2026-40253

1. National Vulnerability Database (NVD) : CVE-2026-40253
2. 関連文書 : COMMON: Fix possible out-of-bounds access in BER decode functions  opencryptoki/opencryptoki@ed378f4  GitHub

• [2026年04月24日]
    掲載