CVE-2026-84783

概要:CVE-2026-84783は、OpenSSLのX.509拡張キャッシュにおけるUse-After-Free(CWE-416)です。深刻度はModerateで、2026年9月29日に公開されました。複数スレッドが同じX.509証明書を初めて同時に使用すると、キャッシュされた拡張データが別スレッドの使用中に解放される場合があります。原因は、拡張値を読み取りロック下で計算し、書き込みロック下で格納する二段階方式にあります。この方式では複数スレッドが同時に計算でき、後から格納したスレッドが先行スレッドの値を解放してしまいます。解放済みメモリの読み取りによりプロセスがクラッシュし、サービス拒否に至る可能性が高いとされています。

影響対象:OpenSSL 4.0.0以上4.0.3未満が該当します。リモートの未認証ピアが、マルチスレッドのTLSクライアント、またはクライアント証明書を要求するマルチスレッドのTLSサーバをクラッシュさせ得ます。発生条件は、同一の信頼済みCA証明書への最初の証明書チェーン構築が、複数の接続で同時に行われることです。ピアが送信する証明書は接続ごとにデコードされ共有されないため、影響を受けません。OpenSSL 3.6、3.5、3.4、3.0、1.1.1、1.0.2およびFIPSモジュールは影響を受けません。

修正版:OpenSSL 4.0.3です。4.0の利用者は4.0.3へのアップグレードが推奨されています。

回避策:原文に記載がなく、未確認です。

不明点:回避策の有無と、実際の悪用事例の有無は未確認です。