CVE-2026-75804
概要 CVE-2026-75804(深刻度Low、2026年9月29日公開、CWE-770)。OpenSSLのQUICスタックが、ストリームに対するコネクションレベルのフロー制御を強制しない問題です。ストリームレベルの制限は検証されますが、コネクションレベルの制限は検証されません。悪用には次の3条件がすべて必要です。リモートピアが複数のストリームを開くこと、
新着・更新情報
CVE-2026-72897
概要 CVE-2026-72897(深刻度Low、2026年9月29日公開)。OpenSSLのTLSサーバーがハンドシェイク途中でSSL_set_SSL_CTX()を呼び出して接続を別のSSL_CTXに切り替えた場合に、内部配列の範囲外にアクセスする問題。CWE-787(Out-of-bounds Write)。リモートの相手により、サーバーヒープ上で小さな
CVE-2026-54875
概要：CVE-2026-54875(深刻度Low、2026年9月29日公開、CWE-208)。OpenSSLでは、ARM64およびRISC-V上のSM2秘密鍵操作に、非定数時間の最適化スカラー点乗算実装が使われる。この実装では条件分岐とテーブル参照が秘密スカラーのビットに応じて決まる。そのため、実行時間とキャッシュアクセスパターンが、SM2復号時は長期秘密鍵
CVE-2026-54873
概要 CVE-2026-54873「QUIC STREAM Fragment Metadata DoS」は、OpenSSLのQUIC実装に関する脆弱性で、深刻度はLow、公開日は2026年9月29日です。分類はCWE-770(制限やスロットリングのないリソース割り当て)です。QUICスタックはコピー処理を省くため、ストリームデータをパケットバッファに残し、受
CVE-2026-54872
概要 CVE-2026-54872(深刻度Low、2026年9月29日公開)は、OpenSSLの汎用楕円曲線スカラー倍算におけるタイミングサイドチャネルの脆弱性です(CWE-208)。専用の定数時間実装を持たない曲線では、ECDSAおよびSM2署名のノンスから導かれる秘密スカラーを非定数時間のBIGNUM演算でパディングするため、処理時間が値に依存します。署
CVE-2026-42772
概要 CVE-2026-42772は、OpenSSLのQUIC実装におけるストリーム再構成処理の脆弱性で、深刻度は「Low」、公開日は2026年9月29日です。受信したQUICストリームのフラグメントは双方向連結リストで管理されています。末尾への追加は最適化されていますが、末尾の直後に続かないフラグメントは先頭からの線形探索で処理されます。そのため、パケット
CVE-2026-35191
CVE-2026-35191 OpenSSL QUICサーバーにおける未検証アドレス向け増幅制限の超過 概要 深刻度はLow、公開日は2026年9月29日です。発見者はAli Firas氏とNikolas Gauder氏(NVIDIA)、修正はNeil Horman氏が開発しました。アドレス検証を行わない設定のOpenSSL QUICサーバーは、受信した1
CVE-2026-35189
概要：CVE-2026-35189（重要度Low、2026年9月29日公開）は、OpenSSLのRelative CRLDP処理における過剰なメモリ割り当ての問題です。nameRelativeToCRLIssuer形式のCRL配布点を多数含む証明書を受け取ると、OpenSSLがX.509拡張をキャッシュする際にヒープが不釣り合いに増加します。ピアから受け付け
USN-8845-1: GVfs vulnerabilities
USN-8845-1:GVfsの脆弱性 概要 GVfsに2件の脆弱性が報告されています。 CVE-2026-84268:Keith Linneman氏が発見。GVfsはSFTPサーバーから受信したデータを適切に検証していませんでした。攻撃者はこの問題を利用してヒープバッファオーバーフローを引き起こし、任意のコード実行やサービス拒否を招く可能性があります。
USN-8856-1: Kdenlive, MLT vulnerability
USN-8856-1 Kdenlive、MLTの脆弱性 要約 概要 Kdenliveが、攻撃者が制御するプロジェクトファイルを処理する際に、危険なプロキシパラメータを許可していたことが判明しました。攻撃者はこれを悪用し、MLTフレームワークのante/postコンシューマプロパティを介して任意のコマンドを実行できる可能性があります。CVE番号は原文に記載が