新しく公開されたOpenSSLの脆弱性が、アプリケーションメモリに保存されている機密データへのアクセスを許可する可能性がある

A newly disclosed flaw in OpenSSL could allow attackers to access sensitive data stored in application memory. この脆弱性はCVE-2026-31790として追跡されており、RSA Key Encapsulation Mechanism (KEM) RSASVE encapsulationの処理に影響を及ぼします。

OpenSSLがセキュリティアドバイザリーを発行

OpenSSLは4月7日、この脆弱性に関するセキュリティアドバイザリーを発行し、ユーザーに対して直ちにパッチを適用することを強く推奨しています。

脆弱性の詳細

この問題の核心は、暗号化プロセスにおける不適切なエラー処理です。アプリケーションがRSASVEキー包絡を使用して秘密鍵を確立する際、特定の関数によって成功が確認されます。

脆弱性の影響

攻撃者は無効なRSA公開鍵を供給し、アプリケーションがそれを最初に検証しない場合、システムはエラーを処理してバッファの未初期化コンテンツを攻撃者に戻す可能性があります。

脆弱性の報告と修正

この脆弱性はRed HatのSimo Sorceによって2026年2月に報告され、Nikola Pajkovskyが修正を開発しました。

影響を受けるバージョン

1.0.2と1.1.1以前のバージョンはこの脆弱性には影響を受けません。影響を受けるバージョンを使用している場合、最新のパッチ付きリリースにアップグレードする必要があります。

セキュリティ更新

• OpenSSL 3.0ユーザー： 3.0.20にアップグレード
• OpenSSL 3.3ユーザー： 3.3.7にアップグレード
• OpenSSL 3.4ユーザー： 3.4.5にアップグレード
• OpenSSL 3.5ユーザー： 3.5.6にアップグレード
• OpenSSL 3.6ユーザー： 3.6.2にアップグレード

緊急時対策

システムを直ちにパッチすることができない管理者は、コードレベルのワークアラウンドを実装することができます。開発者は、公開キーを処理する前にEVP_PKEY_public_check()またはEVP_PKEY_public_check_quick()を呼び出すことで脆弱性を軽減し、メモリー漏洩をブロックできます。

---

元記事: https://gbhackers.com/multiple-openssl-flaws-expose-sensitive-data/