OpenSSLに制限のないリソース割り当ての脆弱性（CVE-2026-63074）
概要
OpenSSLに制限のないリソース割り当ての脆弱性が確認されました。
バージョン 3.0.0 以上 3.0.22 未満、3.4.0 以上 3.4.7 未満、3.5.0 以上 3.5.8 未満、3.6.0 以上 3.6.4 未満、4.0.0 以上 4.0.2 未満に影響があります。
修正版 3.0.22 / 3.4.7 / 3.5.8 / 3.6.4 / 4.0.2 への更新が推奨されます。
脆弱性の基本情報
| 脆弱性ID | CVE-2026-63074 |
|---|---|
| 脆弱性の種類 | 制限のないリソース割り当て |
| 危険度 | 中 |
| CVSSスコア |
5.9（CVSS v3.1） CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H |
| 公開日 | 2026年8月25日 |
| 更新日 | 2026年9月11日 |
影響を受ける製品
| 製品 | 影響を受けるバージョン | 修正版 | 出典 |
|---|---|---|---|
| OpenSSL |
3.0.0 以上 3.0.22 未満、3.4.0 以上 3.4.7 未満、3.5.0 以上 3.5.8 未満、3.6.0 以上 3.6.4 未満、4.0.0 以上 4.0.2 未満 | 3.0.22 / 3.4.7 / 3.5.8 / 3.6.4 / 4.0.2 | NVD（National Vulnerability Database / NIST） |
推奨対応
- OpenSSLを、ご利用中の系列に対応する修正版（3.0.22 / 3.4.7 / 3.5.8 / 3.6.4 / 4.0.2）またはそれ以降の公式最新版へ更新してください。
- OpenSSLを OS・ディストリビューションのパッケージで利用している場合は、提供元の公式セキュリティ更新が適用されているかを確認してください（独自に修正が取り込まれている場合があります）。
情報元の原文
NVD（National Vulnerability Database / NIST）
Issue summary: The OpenSSL Certificate Management Protocol (CMP) caches
additional certificates (extraCerts) sent in a CMP message, but never expunges
them (for instance if they are invalid). If a server reuses an OSSL_CMP_CTX
frequently, this cache of extraCerts may grow unboundedly, and a malicious
client may flood a CMP server with requests driving this growth.
Impact summary: Users utilizing a CMP server that reuses a single OSSL_CMP_CTX
for the lifetime of a server process may observe unbounded memory growth in the
event a malicious client repeatedly sends requests containing unique extra
certificates, which may lead to OOM conditions.
CWE: CWE-770: Allocation of Resources Without Limits or Throttling
Description: If a remote user sends CMP messages to a server with a list of
extraCerts and the message is rejected, the extraCerts from the message remains
in the server contexts untrusted certificate stack. This exposes servers with
long lived ctx objects to Denial of Service attacks in which an attacker sends
messages intending to be rejected with a large list of additional certificates
repeatedly, forcing the server to store them indefinitely.
The issue was fixed by removing the added extra certs if the message is
rejected, using the same method as when the context is configured to not do
caching at all.
FIPS impact: no
As the CMP code lives outside the FIPS module boundary, no FIPS
modules are affected by this CVE.
利用条件：米国政府の著作物（パブリックドメイン）・原文のまま掲載
Copyright 1999-2026 The MITRE Corporation
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy.
情報元
- NVD（National Vulnerability Database / NIST）
https://nvd.nist.gov/vuln/detail/CVE-2026-63074