CVE-2026-63074 in OpenSSL
要約
〜によって VulDB • 2026年08月25日
Issue summary: OpenSSLのCertificate Management Protocol (CMP)は、CMPメッセージで送信された追加証明書（extraCerts）をキャッシュしますが、それらを削除しません（例えば、無効な場合でも）。サーバーがOSSL_CMP_CTXを頻繁に再利用する場合、このextraCertsのキャッシュは無制限に成長する可能性があり、悪意のあるクライアントはこの成長を引き起こすためにCMPサーバーに対してリクエストで洪水攻撃を行うことができます。
Impact summary: CMPサーバーを使用しているユーザーは、サーバープロセスの存続期間中に単一のOSSL_CMP_CTXを再利用すると、悪意のあるクライアントが一意の追加証明書を含むリクエストを繰り返し送信した場合に無制限なメモリ成長が発生し、OOM（Out of Memory）状態に至る可能性があります。
CWE: CWE-770: リソースの割り当てにおける制限やスロットリングなし
Description: リモートユーザーがサーバーに対してextraCertsのリストを持つCMPメッセージを送信し、そのメッセージが拒否された場合、メッセージ内のextraCertsはサーバーコンテキスト内の信頼できない証明書スタックに残ります。これにより、長寿命なctxオブジェクトを持つサーバーは、攻撃者が意図的に拒否されるように設計されたいくつかの追加証明書を大量に含むメッセージを繰り返し送信することでDoS（Denial of Service）攻撃を受ける可能性があります。
この問題は、コンテキストがキャッシュを行わないように設定されている場合と同じ方法を使用して、メッセージが拒否された場合に追加されたextra certsを削除することによって修正されました。
FIPS impact: なし CMPコードはFIPSモジュールの境界外にあるため、本CVEにより影響を受けるFIPSモジュールはありません。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.