CVE-2026-63072

概要

# 問題概要 OpenSSLのCMS復号処理では、キーラップ解除出力バッファのサイズを、ラップ解除されたキーサイズの問い合わせに基づいて決定していますが、AES-WRAP-PADラップ解除プリミティブは、その問い合わせが報告するよりも多くのバイトを書き込み・消去できるため、8バイトのヒープ領域外書き込みが発生します。 # 影響概要 攻撃者が細工したCMSメッセージを提供すると、被害者がCMS_decrypt()でそれを復号した際に、決定的な8バイトのヒープ領域外書き込みが発生し、ヒープを破壊して通常はサービス拒否（DoS）を引き起こします。 # CWE CWE-787: 領域外書き込み # 説明 キーラップOIDは、ネットワーク上で攻撃者によって制御される可能性があります。CMSのラップ解除では、id-aesNNN-wrap-padとid-aesNNN-wrapの両方の暗号が許可されています。攻撃者は正当なメッセージを取得し、単一のOIDバイトを変更してパディング付きのバリアントを選択しつつ、メッセージの他の部分を有効なままにすることができます。ラップ解除キーは受信者の秘密操作（ECDH鍵合意またはML-KEMカプセル化解除）から導出されるため、RFC 5649の整合性チェックは成功せず、復号は整合性エラーで失敗します。この書き込みは、割り当ての直後への固定サイズ（8バイト）、固定値（ゼロ）のヒープオーバーフローであり、特別な設定を必要とせず、公開されたCMS_decrypt()関数から到達可能です。結果として、サービス拒否（DoS）につながるヒープ破壊が発生します。 CMSコードの修正では、ラップ解除出力バッファのサイズを最悪のケースに合わせて決定するため、失敗したラップ解除が割り当てを超えて書き込むことはできません。 # FIPSへの影響 なし CMSコードはFIPSモジュール境界の外側に存在するため、このCVEの影響を受けるFIPSモジュールはありません。

• CVE-2026-63072研究

  CVE-2026-63072の技術的分析。OpenSSL CMSキーアンラッピングにおけるヒープバッファオーバーフローについて、根本原因、影響を受けるバージョン、検出方法、および緩和策を解説します。