CVE-2026-42772

概要
CVE-2026-42772は、OpenSSLのQUIC実装におけるストリーム再構成処理の脆弱性で、深刻度は「Low」、公開日は2026年9月29日です。受信したQUICストリームのフラグメントは双方向連結リストで管理されています。末尾への追加は最適化されていますが、末尾の直後に続かないフラグメントは先頭からの線形探索で処理されます。そのため、パケットが順不同で届くと性能が徐々に低下し、最悪の場合はバッファ内のストリームフレーム数に対して二次の計算量になります。CWEはCWE-407(非効率なアルゴリズム計算量)です。

影響対象
OpenSSL 4.0.0以上4.0.3未満、3.6.0以上3.6.5未満、3.5.0以上3.5.9未満、3.4.0以上3.4.8未満が影響を受けます。影響が生じる条件は、ハンドシェイクを完了したリモートのQUICピアが、通知された受信ウィンドウ内で仕様に準拠したSTREAMフレームを使い、オフセットの順序を操作することです。攻撃者は少ない帯域でコネクション単位のCPU負荷を発生させ、サービス拒否を引き起こす可能性があります。FIPSモジュールは、QUIC実装がその境界外にあるため影響を受けません。

修正版
4.0.3、3.6.5、3.5.9、3.4.8です。修正はAlexandr Nedvedicky氏が開発し、発見者はSaku0512氏とOpal Wright氏(Trail of Bits)です。

回避策
未確認です。

不明点
回避策の有無、上記以外のバージョンへの影響、悪用事例の有無は未確認です。