【活用ガイド】

JVNDB-2026-037137

OpenSSL ProjectのOpenSSLにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性

概要

問題の概要：nameRelativeToCRLIssuer CRL配布ポイントが多数ある証明書では、OpenSSLがX.509拡張をキャッシュする際に、過剰なヒープの増大が引き起こされます。影響の概要：悪意のあるピアから細工された証明書を受信すると、クライアントまたはクライアント証明書を要求するサーバーで重大なメモリ負荷が発生し、サービス拒否（DoS）状態になる可能性があります。CWE：CWE-770：リソースの割り当てに制限や制御がないこと。説明：ピアから受け入れられる証明書のサイズ上限（約100KiB）以内の証明書または証明書群であっても、通常のTLSハンドシェイク時に受信側で数百MiBの常駐メモリが割り当てられることがあります。複数の同時接続がある場合、同様に大きなメモリ割り当てが行われ、クライアントやサーバーがクラッシュする可能性があります。修正内容：CRL配布ポイントの拡張処理を、CRL処理時に必要な値が要求される時点まで遅延させることで、大容量のメモリ割り当てを長時間保持しないようにしました。FIPSへの影響：影響はありません。影響を受けるコードはFIPSモジュールの境界外にあります。
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 5.3 (警告) [その他]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): なし
  • 完全性への影響(I): なし
  • 可用性への影響(A): 低
影響を受けるシステム


OpenSSL Project
  • OpenSSL 1.0.2 以上 1.0.2zs 未満
  • OpenSSL 1.1.1 以上 1.1.1zj 未満
  • OpenSSL 3.0.0 以上 3.0.23 未満
  • OpenSSL 3.4.0 以上 3.4.8 未満
  • OpenSSL 3.5.0 以上 3.5.9 未満
  • OpenSSL 3.6.0 以上 3.6.5 未満
  • OpenSSL 4.0.0 以上 4.0.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。
想定される影響

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアの一部が停止する可能性があります。
対策

ベンダ情報を参照して適切な対策を実施してください。
ベンダ情報

OpenSSL Project
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2026-35189
参考情報

  1. National Vulnerability Database (NVD) : CVE-2026-35189
  2. 関連文書 : Defer computation of relative CRLDP names  openssl/openssl@3842516  GitHub
  3. 関連文書 : Defer computation of relative CRLDP names  openssl/openssl@8e0efc7  GitHub
  4. 関連文書 : Defer computation of relative CRLDP names  openssl/openssl@c72ae18  GitHub
  5. 関連文書 : Defer computation of relative CRLDP names  openssl/openssl@2b93c73  GitHub
更新履歴

  • [2026年10月08日]
      掲載

公表日2026/09/29
登録日2026/10/08
最終更新日2026/10/08