CVE-2026-28389 in OpenSSL
要約
〜によって VulDB • 2026年07月11日
問題の概要: KeyAgreeRecipientInfoを使用する改ざんされたCMS EnvelopedDataメッセージを処理している際に、NULLポインタ参照が発生する可能性があります。
影響の概要: 攻撃者が制御できるCMSデータを処理するアプリケーションは、認証や暗号化操作が行われる前にクラッシュし、サービス拒否（DoS）を引き起こす場合があります。
KeyAgreeRecipientInfoを使用するCMS EnvelopedDataメッセージが処理される際、KeyEncryptionAlgorithmIdentifierのオプションパラメータフィールドが存在するか確認せずに検査されます。このため、そのフィールドが欠落している場合、NULLポインタ参照が発生します。
信頼できない入力に対してCMS_decrypt()を呼び出すアプリケーションやサービス（例：S/MIME処理またはCMSベースのプロトコル）は脆弱性があります。
3.6、3.5、3.4、3.3および3.0のFIPSモジュールはこの問題の影響を受けません。影響を受けるコードがOpenSSL FIPSモジュールの境界外にあるためです。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.