CVE-2026-75805
更新 2026.10.02 16:50
AIによる自動要約です。人によるレビューはまだ完了していません。最新情報は記事内の公式出典をご確認ください。
概要
CVE-2026-75805は、OpenSSLのCMPクライアントにおける失効応答処理のNULLポインタ参照(CWE-476)です。深刻度はLow、公開日は2026年9月29日です。PKCS#10 CSRを使って証明書失効を要求するCMPクライアントが、細工された失効応答を処理すると、NULLポインタの読み取りによって異常終了します。その結果、該当クライアントアプリケーションがサービス拒否状態になります。
CVE-2026-75805は、OpenSSLのCMPクライアントにおける失効応答処理のNULLポインタ参照(CWE-476)です。深刻度はLow、公開日は2026年9月29日です。PKCS#10 CSRを使って証明書失効を要求するCMPクライアントが、細工された失効応答を処理すると、NULLポインタの読み取りによって異常終了します。その結果、該当クライアントアプリケーションがサービス拒否状態になります。
影響対象
影響を受ける版は、4.0.0以上4.0.3未満、3.6.0以上3.6.5未満、3.5.0以上3.5.9未満、3.4.0以上3.4.8未満、3.0.0以上3.0.23未満です。応答はメッセージ保護の検証を通過した後に問題の箇所へ到達するため、攻撃者となり得るのは、悪意あるまたは侵害されたCMPサーバー、あるいはメッセージ保護用の秘密情報を持つ中間者です。証明書そのもの、または発行者名とシリアル番号で失効対象を指定するクライアントは影響を受けません。FIPSモジュールへの影響はありません。
修正版
4.0.3、3.6.5、3.5.9、3.4.8です。3.0系は影響範囲が3.0.23未満と記載されていますが、参照先に3.0.23のコミットは挙げられていません。
回避策
明示的な回避策の記載は未確認です。
不明点
悪用の有無、CVSSスコア、3.0.23の修正コミットはいずれも未確認です。
対象と修正情報
| 緊急度 | 低 |
|---|---|
| 修正版の提供状況 | 修正版あり |
| 影響範囲 | from 4.0.0 before 4.0.3 from 3.6.0 before 3.6.5 from 3.5.0 before 3.5.9 from 3.4.0 before 3.4.8 from 3.0.0 before 3.0.23 |
| 修正版 | 4.0.3 / 3.6.5 / 3.5.9 / 3.4.8 / 3.0.23 |
| 回避策 | 未確認 |
| 悪用状況 | 未確認 |
公式情報からの抽出根拠
- 緊急度：Severity Low
- 影響範囲：Affected from 4.0.0 before 4.0.3 from 3.6.0 before 3.6.5 from 3.5.0 before 3.5.9 from 3.4.0 before 3.4.8 from 3.0.0 before 3.0.23 References
- 修正版：from 4.0.0 before 4.0.3 from 3.6.0 before 3.6.5 from 3.5.0 before 3.5.9 from 3.4.0 before 3.4.8 from 3.0.0 before 3.0.23
- 修正状況：from 4.0.0 before 4.0.3 from 3.6.0 before 3.6.5 from 3.5.0 before 3.5.9 from 3.4.0 before 3.4.8 from 3.0.0 before 3.0.23
緊急度は提供元の分類、またはCVSS基本値に基づきます。製品や版による条件は公式出典をご確認ください。
CVE：CVE-2026-75805
記事更新日時：2026/10/02 16:50／版：1