OpenSSL QUIC Server Unbounded Memory Growth DoS Vulnerability (CVE-2026-14456) Advisory

漏洞概要 漏洞名称: QUICサーバー受信チャネルキューにおける無制限なメモリ増加 (CVE-2026-14456) 重大度: 低 問題の説明: OpenSSL QUICサーバー（SSLオブジェクトを監視）が無効なQUIC初期データパケットを処理する際、未知のパケットIDを持つ受信チャネルを制限なしに割り当て・作成します。 影響: リモートからの攻撃者は、大量の初期データパケットを短時間に送信することで、チャネルごとの状態制限を超過するメモリ割り当てを引き起こし、QUICリスナーの停止および拒否サービス（DoS）を発生させる可能性があります。 CWE: CWE-770: 制限やスロットリングなしのリソース割り当て 影響範囲 影響を受けるバージョン: OpenSSL 3.0, 3.0.6、および 3.5 影響を受けないバージョン: OpenSSL 4.0, 3.0、1.1.1、および 1.0.2 修正方法 対策: 保留中の接続に制限を導入し、デフォルトでは256個の保留接続までとします。アプリケーションは を呼び出すことでデフォルト値を変更できます。 アップグレード提案: - OpenSSL 4.0 のユーザーは、リリースされ次第、OpenSSL 4.0.2 にアップグレードしてください。 - OpenSSL 3.0 のユーザーは、リリースされ次第、OpenSSL 3.0.6 にアップグレードしてください。 - OpenSSL 3.5 のユーザーは、リリースされ次第、OpenSSL 3.5.0 にアップグレードしてください。 パッチ情報: パッチは、次にリリースされる 4.0、3.0、および 3.5 ブランチに包含されます。パッチは以下の OpenSSL git リポジトリのコミットでも確認できます： - 4.0: - 3.0: - 3.5: その他の情報 報告日: 2026年6月25日 報告者: Filipe Casal (Trail of Bits) 協力者: OpenSSL パッチ作成者: Alexandr Nedvedicky 関連リンク セキュリティアナウンスURL: https://openssl-library.org/news/secadv/20260813.txt OpenSSLセキュリティポリシー: https://openssl-library.org/policies/general/security-policy/ 一般セキュリティアナウンスに関する注記 オンライン版のセキュリティアナウンスは時間の経過とともに更新され、追加の詳細情報が追加される場合があります。

目標達成 すべての支援者に感謝 — 100%達成しました！

OpenSSL QUIC Server Unbounded Memory Growth DoS Vulnerability (CVE-2026-14456) Advisory

目標達成すべての支援者に感謝 — 100%達成しました！