JVNDB-2026-020147

OpenSSL ProjectのOpenSSLにおける暗号化処理の不備に関する脆弱性

問題の概要：AES-SIV（RFC 5297）およびAES-GCM-SIV（RFC 8452）の実装において、空の暗号文に対するAAD（追加認証データ）の認証処理が誤っており、その結果、このようなメッセージを偽造可能になっています。影響の概要：攻撃者はこれらの暗号方式を用いる被害者のアプリケーションに対して、任意のAADを持つ空のメッセージを偽造できます。AES-SIV（RFC 5297）およびAES-GCM-SIV（RFC 8452）はノンス誤用耐性を持つAEADモードであり、鍵、ノンス、任意のAAD（認証されるが暗号化されないバイト列）、および平文を受け取り、暗号文と16バイトのタグを生成します。復号時にはタグが正しく検証された場合にのみ`EVP_DecryptFinal_ex()`が成功を返すと文書化されています。OpenSSLのこれらの暗号のプロバイダー実装では、期待されるタグは非空のデータで復号関数が呼ばれた場合にのみ計算されます。もし呼び出し側がAADを供給し、その後、暗号文の更新を呼ばずに`EVP_DecryptFinal_ex()`を呼び出した場合（受信した暗号文長がゼロの時に発生しうる）、タグは再計算されずゼロで初期化されたままになります。AES-GCM-SIVを使用する場合、攻撃者は任意のAAD、空の暗号文、および全ゼロタグを送信することで、知らない鍵の下でも単発で認証を通過させることが可能です。AES-SIVの場合、攻撃を行うためにはアプリケーションが鍵のリセットを行わずに復号コンテキストを再利用する必要があります。AES-SIVはOpenSSL 3.0から、AES-GCM-SIVはOpenSSL 3.2から実装されています。OpenSSL自体で実装されているプロトコル（TLS／CMS／PKCS7／HPKE／QUIC）はAES-GCM-SIVやAES-SIVをサポートしていません。攻撃を成立させるためにはアプリケーション側が独自のプロトコルを実装しEVPインターフェースを利用している必要があり、また空の暗号文のメッセージが来た際に暗号文の更新処理をスキップしなければなりません。OpenSSL FIPSモジュール（バージョン4.0、3.6、3.5、3.4、3.0）はこの問題の影響を受けません。これらのアルゴリズムはFIPSで承認されておらず、影響を受けるコードはFIPSモジュールの境界外に存在するためです。

OpenSSL Project

• OpenSSL 3.0.0 以上 3.0.21 未満
• OpenSSL 3.4.0 以上 3.4.6 未満
• OpenSSL 3.5.0 以上 3.5.7 未満
• OpenSSL 3.6.0 以上 3.6.3 未満
• OpenSSL 4.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

OpenSSL Project

• OpenSSL Library : https://openssl-library.org/news/secadv/20260609.txt

1. 暗号化処理の不備(CWE-325) [その他]

1. CVE-2026-45446

1. National Vulnerability Database (NVD) : CVE-2026-45446
2. 関連文書 : Fix handling of empty-ciphertext messages in AES-SIV  openssl/openssl@71e2a5d  GitHub
3. 関連文書 : Fix handling of empty-ciphertext messages in AES-GCM-SIV and AES-SIV  openssl/openssl@eec5e9b  GitHub
4. 関連文書 : Fix handling of empty-ciphertext messages in AES-GCM-SIV and AES-SIV  openssl/openssl@7fe3f33  GitHub
5. 関連文書 : Fix handling of empty-ciphertext messages in AES-GCM-SIV and AES-SIV  openssl/openssl@daca0f4  GitHub
6. 関連文書 : Fix handling of empty-ciphertext messages in AES-GCM-SIV and AES-SIV  openssl/openssl@25b32cd  GitHub

• [2026年06月17日]
    掲載