JVNDB-2026-033252

OpenSSL ProjectのOpenSSLにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性

問題の概要：OpenSSLの証明書管理プロトコル（CMP）は、CMPメッセージで送信される追加証明書（extraCerts）をキャッシュしますが、例えば無効な場合でもそれらを削除しません。サーバーがOSSL_CMP_CTXを頻繁に再利用すると、このextraCertsのキャッシュは無制限に増大します。悪意のあるクライアントがCMPサーバーにリクエストを大量に送り、この増加を促進する可能性があります。影響の概要：サーバープロセスのライフタイム中に単一のOSSL_CMP_CTXを再利用するCMPサーバーを利用するユーザーは、悪意のあるクライアントが一意の追加証明書を含むリクエストを繰り返し送信した場合に、メモリ使用量が無制限に増加しOOM（メモリ不足）状態を引き起こす可能性があります。CWE：CWE-770：制限や制御なしのリソース割り当て詳細説明：リモートユーザーが追加証明書リストを含むCMPメッセージをサーバーに送信し、そのメッセージが拒否された場合でも、extraCertsがサーバーコンテキストの信頼されていない証明書スタックに残存します。これにより、長時間存在するctxオブジェクトを持つサーバーは、攻撃者が拒否されることを目的として大量の追加証明書を含むメッセージを繰り返し送信し、これらを無期限に保存させるDoS攻撃にさらされます。この問題は、メッセージが拒否された場合に追加された証明書を削除することで修正されており、これはキャッシュを一切行わない設定時の動作と同様です。FIPSの影響：なし。CMPコードはFIPSモジュールの境界外に存在するため、本CVEはFIPSモジュールに影響を与えません。

OpenSSL Project

• OpenSSL 3.0.0 以上 3.0.22 未満
• OpenSSL 3.4.0 以上 3.4.7 未満
• OpenSSL 3.5.0 以上 3.5.8 未満
• OpenSSL 3.6.0 以上 3.6.4 未満
• OpenSSL 4.0.0 以上 4.0.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

OpenSSL Project

• OpenSSL Library : https://openssl-library.org/news/secadv/20260825.txt

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-63074

1. National Vulnerability Database (NVD) : CVE-2026-63074
2. 関連文書 : Fix unbounded cert cache growth in cmp  openssl/openssl@21a5d96  GitHub
3. 関連文書 : Fix unbounded cert cache growth in cmp  openssl/openssl@f636f9c  GitHub
4. 関連文書 : Fix unbounded cert cache growth in cmp  openssl/openssl@74ae7f6  GitHub
5. 関連文書 : Fix unbounded cert cache growth in cmp  openssl/openssl@75360af  GitHub
6. 関連文書 : Fix unbounded cert cache growth in cmp  openssl/openssl@01e5679  GitHub

• [2026年09月14日]
    掲載