OpenSSL Security Bulletin: 4 CVEs (UAF, CMS Forgery, DoS, Double-free) with Patch Versions

OpenSSL 安全公告（2026年6月9日） 1. Heap Use-After-Free in the PKCS7_verify() Function (CVE-2026-45447) 漏洞概述：特别制作的PKCS7或S/MIME签名消息可能在PKCS7签名验证期间触发use-after-free。 影响范围： - OpenSSL 4.0, 3.6, 3.5, 3.4, 3.0, 1.1.1, 和 1.0.2 受影响。 - FIPS 模块不受影响。 修复方案： - OpenSSL 4.0 用户应升级到 OpenSSL 4.0.1。 - OpenSSL 3.6 用户应升级到 OpenSSL 3.6.3。 - OpenSSL 3.5 用户应升级到 OpenSSL 3.5.7。 - OpenSSL 3.4 用户应升级到 OpenSSL 3.4.6。 - OpenSSL 3.0 用户应升级到 OpenSSL 3.0.21。 - OpenSSL 1.1.1 用户应升级到 OpenSSL 1.1.1h。 - OpenSSL 1.0.2 用户应升级到 OpenSSL 1.0.2q。 2. CMS AuthEnvelopedData Processing May Accept Forged Messages (CVE-2026-34182) 漏洞概述：Cryptographic Message Syntax (CMS) 处理未能对 AuthEnvelopedData 容器的密文和标签长度字段执行足够的输入验证，可能导致各种潜在妥协。 影响范围： - OpenSSL 4.0, 3.6, 3.5, 3.4, 和 3.0 受影响。 - FIPS 模块不受影响。 修复方案： - OpenSSL 4.0 用户应升级到 OpenSSL 4.0.1。 - OpenSSL 3.6 用户应升级到 OpenSSL 3.6.3。 - OpenSSL 3.5 用户应升级到 OpenSSL 3.5.7。 - OpenSSL 3.4 用户应升级到 OpenSSL 3.4.6。 - OpenSSL 3.0 用户应升级到 OpenSSL 3.0.21。 - OpenSSL 1.1.1 和 1.0.2 不受影响。 3. Unbounded Memory Growth in the QUIC PATH CHALLENGE Handler (CVE-2026-34183) 漏洞概述：远程对等体可以通过发送包含 QUIC PATH CHALLENGE 帧的数据包耗尽 QUIC 服务器或客户端的堆内存。 影响范围： - OpenSSL 3.4, 3.5, 3.6 和 4.0 受影响。 - FIPS 模块不受影响。 修复方案： - OpenSSL 3.4 用户应升级到 OpenSSL 3.4.6。 - OpenSSL 3.5 用户应升级到 OpenSSL 3.5.7。 - OpenSSL 3.6 用户应升级到 OpenSSL 3.6.3。 - OpenSSL 4.0 用户应升级到 OpenSSL 4.0.1。 - OpenSSL 1.1.1 和 1.0.2 不受影响。 4. Double-free When Checking OCSP Stapled Response (CVE-2026-35188) 漏洞概述：恶意服务器可以通过通过状态请求扩展发送伪造的响应来利用 TLS OCSP 装订，触发客户端证书验证路径中的双重释放。 影响范围： - OpenSSL 4.0 和 3.0 受影响。 - FIPS 模块不受影响。 修复方案： - OpenSSL 4.0 用户应升级到 OpenSSL 4.0.1。 - OpenSSL 3.0 用户应升级到 OpenSSL 3.0.21。 - OpenSSL 3.5, 3.4, 1.1.1, 和 1.0.2 不受影响。 5. NULL Pointer Dereference in QUIC Server Initial Packet Handling (CVE-2026-42764) 漏洞概述：接收带有无效令牌的 QUIC 初始数据包可能导致 OpenSSL QUIC 服务器中的 NULL 指针解引用。 影响范围： - OpenSSL 4.0, 3.6, 和 3.5 受影响。 - FIPS 模块不受影响。 修复方案： - OpenSSL 4.0 用户应升级到 OpenSSL 4.0.1。 - OpenSSL 3.6 用户应升级到 OpenSSL 3.6.3。 - OpenSSL 3.5 用户应升级到 OpenSSL 3.5.7。 - OpenSSL 3.4, 3.0, 1.1.1, 和 1.0.2 不受影响。 6. AES-OCB IV Ignored on EVP_Cipher() Path (CVE-2026-45448) 漏洞概述：当应用程序通过公共 EVP_Cipher() 一次性接口驱动 AES-OCB 上下文时，应用提供的初始化向量 (IV) 被静默丢弃。 影响范围： - OpenSSL 4.0, 3.6, 3.5, 3.4 和 3.0 受影响。 - FIPS 模块不受影响。 修复方案： - OpenSSL 4.0 用户应升级到 OpenSSL 4.0.1。 - OpenSSL 3.6 用户应升级到 OpenSSL 3.6.3。 - OpenSSL 3.5 用户应升级到 OpenSSL 3.5.7。 - OpenSSL 3.4 用户应升级到 OpenSSL 3.4.6。 - OpenSSL 3.0 用户应升级到 OpenSSL 3.0.21。 - OpenSSL 1.1.1 和 1.0.2 不受影响。 7. Possible Heap Buffer Overflow in ASN.1 Multibyte String Conversion (CVE-2026-7393) 漏洞概述：在 ASN.1 多字节字符串转换中，签名整数溢出可能导致堆缓冲区溢出。 影响范围： - OpenSSL 4.0, 3.6, 3.5, 3.4, 3.0, 1.1.1 和 1.0.2 受影响。 - FIPS 模块不受影响。 修复方案： - OpenSSL 4.0 用户应升级到 OpenSSL 4.0.1。 - OpenSSL 3.6 用户应升级到 OpenSSL 3.6.3。 - OpenSSL 3.5 用户应升级到 OpenSSL 3.5.7。 - OpenSSL 3.4 用户应升级到 OpenSSL 3.4.6。 - OpenSSL 3.0 用户应升级到 OpenSSL 3.0.21。 - OpenSSL 1.1.1 用户应升级到 OpenSSL 1.1.1h。 - OpenSSL 1.0.2 用户应升级到 OpenSSL 1.0.2q。 8. Out-of-Bounds Read in CMS Password-Based Decryption (CVE-2026-9076) 漏洞概述：当 CMS 密码基础解密时，攻击者选择的流模式 KEK 密码器可能触发越界读取。 影响范围： - OpenSSL 4.0, 3.6, 3.5, 3.4, 3.0, 1.1.1 和 1.0.2 受影响。 - FIPS 模块不受影响。 修复方案： - OpenSSL 4.0 用户应升级到 OpenSSL 4.0.1。 - OpenSSL 3.6 用户应升级到 OpenSSL 3.6.3。 - OpenSSL 3.5 用户应升级到 OpenSSL 3.5.7。 - OpenSSL 3.4 用户应升级到 OpenSSL 3.4.6。 - OpenSSL 3.0 用户应升级到 OpenSSL 3.0.21。 - OpenSSL 1.1.1 用户应升级到 OpenSSL 1.1.1h。 - OpenSSL 1.0.2 用户应升级到 OpenSSL 1.0.2q。 9. Heap Buffer Over-read in ASN.1 Content Parsing (CVE-2026-34189) 漏洞概述：解析带有原始越界读取的 DER 编码 ASN.1 结构可能导致堆缓冲区越界读取。 影响范围： - OpenSSL 4.0, 3.6, 3.5, 3.4, 3.0, 1.1.1 和 1.0.2 受影响。 - FIPS 模块不受影响。 修复方案： - OpenSSL 4.0 用户应升级到 OpenSSL 4.0.1。 - OpenSSL 3.6 用户应升级到 OpenSSL 3.6.3。 - OpenSSL 3.5 用户应升级到 OpenSSL 3.5.7。 - OpenSSL 3.4 用户应升级到 OpenSSL 3.4.6。 - OpenSSL 3.0 用户应升级到 OpenSSL 3.0.21。 - OpenSSL 1.1.1 用户应升级到 OpenSSL 1.1.1h。 - OpenSSL 1.0.2 用户应升级到 OpenSSL 1.0.2q。 10. PKCS#12 Files with PBMAC1 Are Accepted with Short HMAC Keys (CVE-2026-34181) 漏洞概述：PKCS#12 文件处理未能对使用 PBMAC1 的文件执行足够的输入验证，允许伪造证书和私钥。 影响范围： - OpenSSL 4.0, 3.6, 3.5, 和 3.4 受影响。 - FIPS 模块不受影响。 修复方案： - OpenSSL 4.0 用户应升级到 OpenSSL 4.0.1。 - OpenSSL 3.6 用户应升级到 OpenSSL 3.6.3。 - OpenSSL 3.5 用户应升级到 OpenSSL 3.5.7。 - OpenSSL 3.4 用户应升级到 OpenSSL 3.4.6。 - OpenSSL 3.0, 1.1.1 和 1.0.2 不受影响。 11. NULL Dereference in Certificate Verification with OCSP Checking (CVE-2026-42765) 漏洞概述：启用部分链证书验证并与 OCSP 响应检查一起使用时，如果验证链没有自签名信任锚，将发生 NULL 解引用。 影响范围： - OpenSSL 4.0 和 3.6 受影响。 - FIPS 模块不受影响。 修复方案： - OpenSSL 4.0 用户应升级到 OpenSSL 4.0.1。 - OpenSSL 3.6 用户应升级到 OpenSSL 3.6.3。 - OpenSSL 3.5, 3.4, 3.0, 1.1.1, 和 1.0.2 不受影响。

目標達成 すべての支援者に感謝 — 100%達成しました！

OpenSSL Security Bulletin: 4 CVEs (UAF, CMS Forgery, DoS, Double-free) with Patch Versions

目標達成すべての支援者に感謝 — 100%達成しました！