CVE-2026-81720 openssl memory_costパラメータ不検証によるクラッシュリスク
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
openssl_encryptバージョン1.4.9未満で、identity file保護ブロックからのmemory_costパラメータの検証が不十分なため、ローカルのidentity storeに書き込み権がある攻撃者が悪意のあるidentityファイルを作成し、認証前のID解除時にメモリ不足状態を引き起こす可能性があります。これによりホストがクラッシュする脆弱性が報告されています。影響は、opensslを使用して認証処理を行うサーバーに限定されますが、運用上はidentityファイルの変更履歴を確認し、異常なmemory_cost値が設定されていないかを点検する必要があります。また、opensslのバージョンが1.4.9以上かを確認し、必要に応じてパッチ適用を行うことが重要です。確認時は、identityファイルのアクセス権や変更履歴の監査を厳格に実施し、不正なファイルの存在をチェックすることが求められます。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性について問う。もしopensslのバージョンが1.4.9未満である場合、identityファイルのmemory_costパラメータの検証不足が問題となる。だが、この状況をどう運用者として受け止めるべきか？
ああ、まず第一に確認すべきは、現行のopensslバージョンです。サーバーにインストールされたopensslが1.4.9以上かを確認し、パッチ適用の必要性を判断する必要があります。また、identityファイルのアクセス権が適切に設定されているか、変更履歴を監査ログで確認する習慣が重要です。
しかし、この脆弱性が「ローカルのidentity storeに書き込み権がある攻撃者」に限定される点に注目すべきでは？運用者は、このアクセス権を厳格に制限する義務があるだろうか？
もちろんです。identityファイルのアクセス権は、rootまたは特定の運用ユーザに限定し、変更履歴を定期的に監視する必要があります。また、異常なmemory_cost値が設定されていないかを点検するためのスクリプトを用意しておくとよいでしょう。
では、この脆弱性の影響を「サーバーに限定される」という点に言及したが、運用者としての責任はどこにあるか？
ベンダーの公式情報やCVEの記述を確認し、パッチの適用時期を早急に検討する必要があります。また、監視ツールでメモリ使用量の異常を検出できるようにしておくことで、クラッシュを未然に防ぐことができます。
最後に、この脆弱性に対応する際に、運用者が陥りがちな間違いは何か？
「バージョン確認を怠る」ことと、「変更履歴の監査を形式的に行う」ことが挙げられます。パッチ適用の際には、変更管理のプロセスに従い、テスト環境での検証を必ず行いましょう。それと、memory_costの値が1000を超えていないかを確認するのも、少しユーモアを込めて言える仕事です。
関連キーワード: openssl