CVE-2026-34183
更新 2026.10.02 17:25
AIによる自動要約です。人によるレビューはまだ完了していません。最新情報は記事内の公式出典をご確認ください。
概要
CVE-2026-34183(深刻度:Moderate、公開日:2026年6月9日)は、OpenSSLのQUICにおけるPATH_CHALLENGE処理でメモリが際限なく増加する問題です。QUICスタックは受信したPATH_CHALLENGEフレームごとにPATH_RESPONSEフレームを割り当てますが、これは相手がPATH_RESPONSEの受信を確認応答した時にしか解放されません。悪意あるリモートピアは確認応答せずにPATH_CHALLENGEを含むパケットを大量に送ることで、QUICサーバーまたはクライアントのヒープメモリを枯渇させられます。その結果、アプリケーションの異常終了やサービス拒否につながる可能性があります。発見者はAbhinav Agarwal氏、修正開発者はAlexandr Nedvedicky氏です。
CVE-2026-34183(深刻度:Moderate、公開日:2026年6月9日)は、OpenSSLのQUICにおけるPATH_CHALLENGE処理でメモリが際限なく増加する問題です。QUICスタックは受信したPATH_CHALLENGEフレームごとにPATH_RESPONSEフレームを割り当てますが、これは相手がPATH_RESPONSEの受信を確認応答した時にしか解放されません。悪意あるリモートピアは確認応答せずにPATH_CHALLENGEを含むパケットを大量に送ることで、QUICサーバーまたはクライアントのヒープメモリを枯渇させられます。その結果、アプリケーションの異常終了やサービス拒否につながる可能性があります。発見者はAbhinav Agarwal氏、修正開発者はAlexandr Nedvedicky氏です。
影響対象
4.0.0以上4.0.1未満、3.6.0以上3.6.3未満、3.5.0以上3.5.7未満、3.4.0以上3.4.6未満。QUICクライアントまたはサーバーとして動作するアプリケーションが対象です。4.0、3.6、3.5、3.4、3.0のFIPSモジュールは影響を受けません(QUICスタックはFIPSモジュールの境界外のため)。
修正版
4.0.1、3.6.3、3.5.7、3.4.6(各版のgitコミットが参照先に記載されています)。
回避策
未確認(原文に記載なし)。
不明点
FIPSモジュール以外の3.0系への影響、上記以外の版系列の状況、具体的な悪用事例の有無は未確認です。
対象と修正情報
| 緊急度 | 中 |
|---|---|
| 修正版の提供状況 | 修正版あり |
| 影響範囲 | from 4.0.0 before 4.0.1 from 3.6.0 before 3.6.3 from 3.5.0 before 3.5.7 from 3.4.0 before 3.4.6 |
| 修正版 | 4.0.1 / 3.6.3 / 3.5.7 / 3.4.6 |
| 回避策 | 未確認 |
| 悪用状況 | 未確認 |
公式情報からの抽出根拠
- 緊急度：Severity Moderate
- 影響範囲：Affected from 4.0.0 before 4.0.1 from 3.6.0 before 3.6.3 from 3.5.0 before 3.5.7 from 3.4.0 before 3.4.6 References
- 修正版：from 4.0.0 before 4.0.1 from 3.6.0 before 3.6.3 from 3.5.0 before 3.5.7 from 3.4.0 before 3.4.6
- 修正状況：from 4.0.0 before 4.0.1 from 3.6.0 before 3.6.3 from 3.5.0 before 3.5.7 from 3.4.0 before 3.4.6
緊急度は提供元の分類、またはCVSS基本値に基づきます。製品や版による条件は公式出典をご確認ください。
CVE：CVE-2026-34183
記事更新日時：2026/10/02 17:25／版：1