JVNDB-2026-019972 | |
OpenSSL ProjectのOpenSSLにおける隠蔽されたチャネルに関する脆弱性 | |
| 概要 | |
問題の概要: CMS_decryptおよびPKCS7_decrypt関数は、攻撃者がCMSまたはS/MIMEメッセージを提供し、エラーコードや復号結果を観察できる場合に、Bleichenbacher様の攻撃に対して脆弱です。インパクトの概要: Bleichenbacher様の攻撃により、攻撃者は被害者の脆弱なアプリケーションを利用して、被害者の秘密RSA鍵でメッセージを復号または署名することが可能になります。この攻撃は2つのバリエーションで発生します。1. 受信者証明書を提供せずに復号API（CMS_decrypt(), PKCS7_decrypt()）を使用する場合。この場合OpenSSLは最初の成功で停止せず、すべてのKeyTransRecipientInfo（KTRI）を順に処理します。攻撃者が2つのKTRIエントリを持つメッセージを作成した場合―1つ目は被害者の公開鍵で実際のCEKをラップし、2つ目は任意のプローブ暗号文―アプリケーションのエラーコードが利用可能であれば第2のKTRIを反復し、PKCS#1 v1.5の有効なパディングを取得できる可能性があります。これがBleichenbacherオラクル（Bleichenbacher, CRYPTO '98）であり、適応型選択暗号文サイドチャネル攻撃で、攻撃者は任意のRSA暗号文を復号または任意のPKCS#1 v1.5署名を偽造できます。2. 復号APIに受信者証明書を提供し、受信者が見つからない場合、ランダムな鍵が代入されます。攻撃者がメッセージを作成し、エラーコードと復号結果の両方を比較できれば、Bleichenbacherオラクルを構築可能です。これらのシナリオで攻撃機会をリモート攻撃者に提供するアプリケーションは知られておらず、そのようなアプリケーションの存在は非常に低いと見なされているため、本CVEは低重大度と評価されています。これらの攻撃を回避するために、RSA PKCS#1 v1.5鍵輸送を使用する場合、呼び出されるEVP_PKEY_decrypt()はdraft-irtf-cfrg-rsa-guidanceで記述された暗黙の拒否機構を使用します。以前のOpenSSLリリースでは、暗黙の拒否は明示的に無効化されていました。暗黙の拒否機構は常に平文である対称鍵を返します。その結果は暗号文と秘密鍵に対して決定的です。復号結果の長さは、コンテンツ暗号化に使用された対称暗号の鍵長と一致することがあります。証明書が提供されない場合、有効に見える鍵を生成する最後のRecipientInfoが使用されるため、復号時にゴミのコンテンツが得られることがあります。適切な対処方法として、復号に特定のRecipientInfoを識別するために受信者証明書を提供する必要があります。OpenSSL FIPSモジュールの4.0、3.6、3.5、および3.4はこの問題の影響を受けません。これはCMSおよびS/MIME処理がOpenSSL FIPSモジュールの境界外で行われるためです。 | |
| CVSS による深刻度 (CVSS とは?) | |
|
CVSS v3 による深刻度
基本値: 3.7 (注意) [その他]
| |
| 影響を受けるシステム | |
|
| |
OpenSSL Project | |
本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。 | |
| 想定される影響 | |
・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 | |
| 対策 | |
ベンダ情報を参照して適切な対策を実施してください。 | |
| ベンダ情報 | |
OpenSSL Project | |
| CWEによる脆弱性タイプ一覧 CWEとは? | |
| |
| 共通脆弱性識別子(CVE) CVEとは? | |
|
| |
| 参考情報 | |
| |
| 更新履歴 | |
|
| 公表日 | 2026/06/09 |
| 登録日 | 2026/06/17 |
| 最終更新日 | 2026/06/17 |
