CVE-2026-75804

概要
CVE-2026-75804(深刻度Low、2026年9月29日公開、CWE-770)。OpenSSLのQUICスタックが、ストリームに対するコネクションレベルのフロー制御を強制しない問題です。ストリームレベルの制限は検証されますが、コネクションレベルの制限は検証されません。悪用には次の3条件がすべて必要です。リモートピアが複数のストリームを開くこと、各ストリームがストリームレベルの制限内に収まること、どのストリームでもオフセット0のバイトを送らないこと。条件を満たすと、2×MAX_STREAMS×ストリームフロー制御上限のメモリを割り当てさせられます。既定値(MAX_STREAMSは100で、双方向と単方向の合計200、ストリームの既定ウィンドウは512kB)では、本来の768KiB(既定のフロー制御ウィンドウサイズ)ではなく、1コネクションあたり約100MBのヒープを消費させられます。

影響対象
OpenSSL 4.0.0以上4.0.3未満、3.6.0以上3.6.5未満、3.5.0以上3.5.9未満、3.4.0以上3.4.8未満。QUIC実装はFIPSモジュールの境界外にあるため、FIPSモジュールは影響を受けません。

修正版
4.0.3、3.6.5、3.5.9、3.4.8。それぞれのgit commitが参照されています。修正はAlexandr Nedvedicky氏が開発し、発見者はMoltenbit、Bhabani Sankar Das、Saiyowa Security Teamです。

回避策
原文に記載がなく、未確認です。

不明点
CVSSスコア、悪用事例の有無、上記以外のバージョンへの影響有無は未確認です。