CVE-2026-105236 証明書検証脆弱性によるセッション再利用リスク
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
Erlang/OTPのsslアプリケーションに、不適切な証明書検証の脆弱性が確認されています。SNI（Server Name Indication）を使用して複数の仮想ホストを1つのリスナーで扱う場合、異なるSNI名の仮想ホスト間でTLS 1.2セッションを再利用できる可能性があります。これにより、1つのSNI仮想ホストで信頼された証明書を持つクライアントが、別のSNI仮想ホストに不正に認証されるリスクがあります。影響を受けるのは、OTP 18.0からOTP 27.3.4.19、OTP 28.5.0.8、OTP 29.1.2以前のバージョンです。運用者は、使用しているOTPのバージョンを確認し、パッチ適用を検討してください。また、SNI設定やSSLオプション（reuse_sessions、verify_peer）の確認も重要です。TLS 1.3は影響を受けません。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性について語ってみよ。証明書検証の不備が、異なるSNI仮想ホスト間でセッションを再利用できるという。これは、信頼の概念そのものを揺るがすではないか？
確かに、ソクラテス。しかし、まずは現実の観点から。運用者として、最初に確認すべきは「使用しているOTPのバージョン」だろう。影響範囲が明示されているのだから、それが第一のハードルだ。
では、セッション再利用のリスクが実際にはどう防ぐべきか？
SNI設定やSSLオプション（reuse_sessions、verify_peer）を確認する必要がある。特に、reuse_sessionsがtrueに設定されている場合、verify_peerが有効になってもセッションが再利用される可能性がある。これは、設定の整合性を確認する作業にほかならない。
では、パッチ適用と変更管理の重要性を語るなら？
パッチ適用は当然だが、変更管理の文書化が肝要だ。例えば、SNI設定を変更した際、どのホストが影響を受けるかを明確に記録し、監視ログと照合する習慣が必要だ。
監視の役割は？
セッションの再利用が発生した場合、監視ログで異常な認証トラフィックを検出できるはずだ。また、ベンダー情報確認は、パッチの適用条件や影響範囲を正確に把握するための指針となる。
では、TLS 1.3は影響を受けないが、運用者はどう対応すべきか？
TLS 1.3を有効化するだけでは解決しない。現行のTLS 1.2環境でリスクを減らすには、設定の見直しとパッチ適用が不可欠だ。
最後に、運用者に向けた教訓は？
「バージョン確認」「設定確認」「パッチ適用」「変更管理」「監視」「ベンダー情報」の6つのステップを、まるで哲学の問答のように順序よく実施するべきだ。それ以外に、真の信頼は存在しないのだから。
関連キーワード: bind