CVE-2026-14457
更新 2026.10.02 17:05
AIによる自動要約です。人によるレビューはまだ完了していません。最新情報は記事内の公式出典をご確認ください。
概要
CVE-2026-14457(深刻度:Low、公開日:2026年8月25日)。OpenSSLにおいて、RFC7250 Raw Public Keys(RPK)を有効にし、ローカルに秘密鍵のみ(対応する証明書なし)を設定したサーバーまたはクライアント構成で、リモートピアがRPKを要求し、かつ通常は省略される「signature_algorithms_cert」TLS拡張を送信すると、NULLポインタ参照(CWE-476)が発生する可能性があります。影響はアプリケーション異常終了によるサービス拒否に限られ、データ漏えいやリモートコマンド実行は起こりません。FIPSモジュールは影響を受けません。発見者はFilipe Casal(Trail of Bits)、修正開発者はViktor Dukhovniです。
CVE-2026-14457(深刻度:Low、公開日:2026年8月25日)。OpenSSLにおいて、RFC7250 Raw Public Keys(RPK)を有効にし、ローカルに秘密鍵のみ(対応する証明書なし)を設定したサーバーまたはクライアント構成で、リモートピアがRPKを要求し、かつ通常は省略される「signature_algorithms_cert」TLS拡張を送信すると、NULLポインタ参照(CWE-476)が発生する可能性があります。影響はアプリケーション異常終了によるサービス拒否に限られ、データ漏えいやリモートコマンド実行は起こりません。FIPSモジュールは影響を受けません。発見者はFilipe Casal(Trail of Bits)、修正開発者はViktor Dukhovniです。
影響対象
4.0.0以上4.0.2未満、3.6.0以上3.6.4未満、3.5.0以上3.5.8未満、3.4.0以上3.4.7未満。
修正版
4.0.2、3.6.4、3.5.8、3.4.7。
回避策
秘密鍵とともに対応する証明書(自己署名やCA署名でも可)を設定する構成では、修正前でも同拡張は確実に処理されます。原文はこれをRPKのベストプラクティスとしています。証明書なしで秘密鍵のみを使う場合は、修正版への更新が必要です。
不明点
CVSSスコア、上記以外のバージョン系列(3.3以前など)への影響、悪用事例の有無は未確認です。
対象と修正情報
| 緊急度 | 低 |
|---|---|
| 修正版の提供状況 | 修正版あり |
| 影響範囲 | from 4.0.0 before 4.0.2 from 3.6.0 before 3.6.4 from 3.5.0 before 3.5.8 from 3.4.0 before 3.4.7 |
| 修正版 | 4.0.2 / 3.6.4 / 3.5.8 / 3.4.7 |
| 回避策 | 未確認 |
| 悪用状況 | 未確認 |
公式情報からの抽出根拠
- 緊急度：Severity Low
- 影響範囲：Affected from 4.0.0 before 4.0.2 from 3.6.0 before 3.6.4 from 3.5.0 before 3.5.8 from 3.4.0 before 3.4.7 References
- 修正版：from 4.0.0 before 4.0.2 from 3.6.0 before 3.6.4 from 3.5.0 before 3.5.8 from 3.4.0 before 3.4.7
- 修正状況：from 4.0.0 before 4.0.2 from 3.6.0 before 3.6.4 from 3.5.0 before 3.5.8 from 3.4.0 before 3.4.7
緊急度は提供元の分類、またはCVSS基本値に基づきます。製品や版による条件は公式出典をご確認ください。
CVE：CVE-2026-14457
記事更新日時：2026/10/02 17:05／版：1