JVNDB-2026-035407

OpenSSL ProjectのOpenSSLにおける二重解放に関する脆弱性

問題の概要：QUICサーバは初期パケットのチャネル作成が失敗した際に、QRX（QUICレコード層RX）オブジェクトを二重に解放する可能性があります。影響の概要：二重解放はヒープ破損を引き起こし、通常はQUICサーバプロセスを終了させ、サービス拒否（DoS）状態を招きます。現時点で、この二重解放がリモートコード実行に悪用可能である証拠はなく、その可能性は非常に低いと考えられています。CWE：CWE-415：二重解放。説明：初期パケットの検証のために、OpenSSLのQUICスタックのデフォルトパケットハンドラ（port_default_packet_handler()）は、いわゆるQRXオブジェクトを作成します。初期パケットがQRXオブジェクトで正常に検証されると、デフォルトパケットハンドラはチャネル（接続オブジェクト）の作成に進みます。パケット検証に使用されたQRXオブジェクトはport_bind_channel()に渡され、新しく作成された接続の一部となります。port_bind_channel()が失敗すると、QRXオブジェクトも解放されます。port_bind_channel()の戻り後、port_default_packet_handler()は失敗を検知してエラーブランチに進み、同じQRXオブジェクトを二度目に解放してしまいます。port_bind_channel()関数の失敗は、比較的低い労力で不正（RFC 9000非準拠）のINITIALパケットによって引き起こすことができます。パケットが8バイト未満のDCID（宛先接続ID）を含む場合、ossl_quic_lcidm_enrol_odcid()がDCIDの無効な長さを検出し、その後port_bind_channel()はエラーパスにジャンプします。FIPSへの影響：なし。FIPSモジュール境界外の実装であるため、QUICの実装はOpenSSLのFIPSモジュールに影響を与えません。

OpenSSL Project

• OpenSSL 3.5.0 以上 3.5.8 未満
• OpenSSL 3.6.0 以上 3.6.4 未満
• OpenSSL 4.0.0 以上 4.0.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

OpenSSL Project

• OpenSSL Library : https://openssl-library.org/news/secadv/20260825.txt

1. 二重解放(CWE-415) [その他]

1. CVE-2026-18798

1. National Vulnerability Database (NVD) : CVE-2026-18798
2. 関連文書 : Avoid double free of qrx in port_default_packet_handler()  openssl/openssl@967582d  GitHub
3. 関連文書 : Avoid double free of qrx in port_default_packet_handler()  openssl/openssl@a14a1de  GitHub
4. 関連文書 : Avoid double free of qrx in port_default_packet_handler()  openssl/openssl@70cebd7  GitHub

• [2026年09月25日]
    掲載