CVE-2026-75806

更新 2026.10.02 16:55

AIによる自動要約です。人によるレビューはまだ完了していません。最新情報は記事内の公式出典をご確認ください。

概要:
CVE-2026-75806(重要度Low、2026年9月29日公開)は、OpenSSLのDTLS 1.2におけるDoSの脆弱性です。AEAD暗号スイートを使う確立済みのDTLS 1.2アソシエーションが、認証されていない1つのデータグラムで切断される可能性があります。原因は、暗号化フラグメントが明示的IVと認証タグの必須オーバーヘッドより短い場合の長さ検証の不備(CWE-1284)です。このようなレコードは本来認証失敗として扱われるべきところ、内部エラーとしてfatalなinternal_errorアラートが送出されます。攻撃者は鍵情報を知らなくても、対象のアソシエーションを切断できます。影響は対象アソシエーションに限られ、メモリ安全性や機密性への影響はないとされています。TLS 1.2でも同じ現象が起きますが、プロトコル準拠上の問題でありセキュリティ問題ではないとされています。発見者および修正開発者はMounir Idrassi氏です。

影響対象:
4.0.0以上4.0.3未満、3.6.0以上3.6.5未満、3.5.0以上3.5.9未満、3.4.0以上3.4.8未満、3.0.0以上3.0.23未満、1.1.1以上1.1.1zj未満。FIPSモジュールへの影響はありません。

修正版:
4.0.3、3.6.5、3.5.9、3.4.8、3.0.23、1.1.1zj。修正では、AEAD処理の前にレコード長を検証します。これにより、TLSではbad_record_macを返し、DTLSでは該当レコードを黙って破棄します。なお、参照先に記載されたgitコミットは4.0.3、3.6.5、3.5.9、3.4.8の4件のみです。

回避策:
原文に記載がなく、未確認です。

不明点:
CVSSスコア、悪用の有無、3.0.23および1.1.1zjの提供形態は未確認です。

対象と修正情報

緊急度	低
修正版の提供状況	修正版あり
影響範囲	from 4.0.0 before 4.0.3 from 3.6.0 before 3.6.5 from 3.5.0 before 3.5.9 from 3.4.0 before 3.4.8 from 3.0.0 before 3.0.23 from 1.1.1 before 1.1.1zj
修正版	4.0.3 / 3.6.5 / 3.5.9 / 3.4.8 / 3.0.23 / 1.1.1zj
回避策	未確認
悪用状況	未確認

公式情報からの抽出根拠

緊急度：Severity Low
影響範囲：Affected from 4.0.0 before 4.0.3 from 3.6.0 before 3.6.5 from 3.5.0 before 3.5.9 from 3.4.0 before 3.4.8 from 3.0.0 before 3.0.23 from 1.1.1 before 1.1.1zj References
修正版：from 4.0.0 before 4.0.3 from 3.6.0 before 3.6.5 from 3.5.0 before 3.5.9 from 3.4.0 before 3.4.8 from 3.0.0 before 3.0.23 from 1.1.1 before 1.1.1zj
修正状況：from 4.0.0 before 4.0.3 from 3.6.0 before 3.6.5 from 3.5.0 before 3.5.9 from 3.4.0 before 3.4.8 from 3.0.0 before 3.0.23 from 1.1.1 before 1.1.1zj

緊急度は提供元の分類、またはCVSS基本値に基づきます。製品や版による条件は公式出典をご確認ください。

CVE：CVE-2026-75806

公式情報・出典を確認

記事更新日時：2026/10/02 16:55／版：1

この製品の通知を受け取る