OpenSSL に複数の脆弱性
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は4月10日、OpenSSLにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。
・CVE-2026-31790 3.6.2より前の3.6系バージョン 3.5.6より前の3.5系バージョン 3.4.5より前の3.4系バージョン 3.3.7より前の3.3系バージョン 3.0.20より前の3.0系バージョン ※各対象バージョンのFIPSモジュールも本脆弱性の影響を受ける
・CVE-2026-28386 3.6.2より前の3.6系バージョン ※FIPSモジュールも本脆弱性の影響を受ける
・CVE-2026-28387 3.6.2より前の3.6系バージョン 3.5.6より前の3.5系バージョン 3.4.5より前の3.4系バージョン 3.3.7より前の3.3系バージョン 3.0.20より前の3.0系バージョン 1.1.1zgより前の1.1.1系バージョン ※各対象バージョンのFIPSモジュールは本脆弱性の影響を受けない
・CVE-2026-28388、CVE-2026-28389、CVE-2026-28390 3.6.2より前の3.6系バージョン 3.5.6より前の3.5系バージョン 3.4.5より前の3.4系バージョン 3.3.7より前の3.3系バージョン 3.0.20より前の3.0系バージョン 1.1.1zgより前の1.1.1系バージョン 1.0.2zpより前の1.0.2系バージョン ※各対象バージョンのFIPSモジュールは本脆弱性の影響を受けない
・CVE-2026-31789 3.6.2より前の3.6系バージョン 3.5.6より前の3.5系バージョン 3.4.5より前の3.4系バージョン 3.3.7より前の3.3系バージョン 3.0.20より前の3.0系バージョン ※各対象バージョンのFIPSモジュールは本脆弱性の影響を受けない
OpenSSL ProjectよりOpenSSL Security Advisory [7th April 2026]が公開されている。想定される影響は各脆弱性により異なるが、下記のような影響を受ける可能性がある。
【深刻度：中（Severity: Moderate） 】 ・RSA KEM RSASVEカプセル化における不適切なエラー処理（CVE-2026-31790） RSA_public_encrypt()において、RSA暗号化が失敗した際の戻り値判定が不適切なため、失敗していても成功として扱ってしまい、結果として出力バッファが未初期化のまま送信される可能性がある →機微な情報が漏えいする
【深刻度：低（Severity：Low）】 ・AES-CFB-128処理時の境界外読み取り（CVE-2026-28386） AVX-512およびVAESをサポートするシステム上でAES-CFB128による暗号化または復号を行う場合、暗号ブロックを処理する際に最大15バイトの境界外読み取りが発生する →サービス運用妨害（DoS）状態が引き起こされる
・DANEクライアントコードにおける解放済みメモリ使用（use-after-free）（CVE-2026-28387） DANE検証処理において、TLSAレコードの組み合わせにより解放済みメモリ使用（use-after-free）または二重解放（double free）が発生する →サービス運用妨害（DoS）状態が引き起こされたり、任意のコードが実行されたりする
・Delta CRL処理時のNULLポインタ参照（CVE-2026-28388） Delta CRL Indicator拡張を含むDelta CRLを処理する際に、必須項目であるCRL Number拡張が欠落していると、NULLポインタ参照が発生する →サービス運用妨害（DoS）状態が引き起こされる
・KeyAgreeRecipientInfo処理時のNULLポインタ参照（CVE-2026-28389） CMS EnvelopedDataメッセージを処理する際、KeyAgreeRecipientInfoの処理過程でKeyEncryptionAlgorithmIdentifierのフィールドが欠落しているとNULLポインタ参照が発生する →サービス運用妨害（DoS）状態が引き起こされる
・CMS KeyTransportRecipientInfo処理時のNULLポインタ参照（CVE-2026-28390） CMS EnvelopedDataメッセージを処理する際、KeyTransportRecipientInfo処理過程でSourceFuncアルゴリズムのパラメータが欠落しているとNULLポインタ参照が発生する →サービス運用妨害（DoS）状態が引き起こされる
・16進数変換時におけるヒープベースのバッファオーバーフロー（CVE-2026-31789） 極端に大きなOCTET STRINGを16進文字列に変換する際、32bit環境においてヒープベースのバッファオーバーフローが発生する →サービス運用妨害（DoS）状態が引き起こされたり、任意のコードが実行されたりする
JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。なお開発者は、各脆弱性への対策として下記のバージョンをリリースしている。
OpenSSL 3.6.2 OpenSSL 3.5.6 OpenSSL 3.4.5 OpenSSL 3.3.7 OpenSSL 3.0.20 OpenSSL 1.1.1zg（プレミアムサポートカスタマのみ） OpenSSL 1.0.2zp（プレミアムサポートカスタマのみ）
・CVE-2026-31790 3.6.2より前の3.6系バージョン 3.5.6より前の3.5系バージョン 3.4.5より前の3.4系バージョン 3.3.7より前の3.3系バージョン 3.0.20より前の3.0系バージョン ※各対象バージョンのFIPSモジュールも本脆弱性の影響を受ける
・CVE-2026-28386 3.6.2より前の3.6系バージョン ※FIPSモジュールも本脆弱性の影響を受ける
・CVE-2026-28387 3.6.2より前の3.6系バージョン 3.5.6より前の3.5系バージョン 3.4.5より前の3.4系バージョン 3.3.7より前の3.3系バージョン 3.0.20より前の3.0系バージョン 1.1.1zgより前の1.1.1系バージョン ※各対象バージョンのFIPSモジュールは本脆弱性の影響を受けない
・CVE-2026-28388、CVE-2026-28389、CVE-2026-28390 3.6.2より前の3.6系バージョン 3.5.6より前の3.5系バージョン 3.4.5より前の3.4系バージョン 3.3.7より前の3.3系バージョン 3.0.20より前の3.0系バージョン 1.1.1zgより前の1.1.1系バージョン 1.0.2zpより前の1.0.2系バージョン ※各対象バージョンのFIPSモジュールは本脆弱性の影響を受けない
・CVE-2026-31789 3.6.2より前の3.6系バージョン 3.5.6より前の3.5系バージョン 3.4.5より前の3.4系バージョン 3.3.7より前の3.3系バージョン 3.0.20より前の3.0系バージョン ※各対象バージョンのFIPSモジュールは本脆弱性の影響を受けない
OpenSSL ProjectよりOpenSSL Security Advisory [7th April 2026]が公開されている。想定される影響は各脆弱性により異なるが、下記のような影響を受ける可能性がある。
【深刻度：中（Severity: Moderate） 】 ・RSA KEM RSASVEカプセル化における不適切なエラー処理（CVE-2026-31790） RSA_public_encrypt()において、RSA暗号化が失敗した際の戻り値判定が不適切なため、失敗していても成功として扱ってしまい、結果として出力バッファが未初期化のまま送信される可能性がある →機微な情報が漏えいする
【深刻度：低（Severity：Low）】 ・AES-CFB-128処理時の境界外読み取り（CVE-2026-28386） AVX-512およびVAESをサポートするシステム上でAES-CFB128による暗号化または復号を行う場合、暗号ブロックを処理する際に最大15バイトの境界外読み取りが発生する →サービス運用妨害（DoS）状態が引き起こされる
・DANEクライアントコードにおける解放済みメモリ使用（use-after-free）（CVE-2026-28387） DANE検証処理において、TLSAレコードの組み合わせにより解放済みメモリ使用（use-after-free）または二重解放（double free）が発生する →サービス運用妨害（DoS）状態が引き起こされたり、任意のコードが実行されたりする
・Delta CRL処理時のNULLポインタ参照（CVE-2026-28388） Delta CRL Indicator拡張を含むDelta CRLを処理する際に、必須項目であるCRL Number拡張が欠落していると、NULLポインタ参照が発生する →サービス運用妨害（DoS）状態が引き起こされる
・KeyAgreeRecipientInfo処理時のNULLポインタ参照（CVE-2026-28389） CMS EnvelopedDataメッセージを処理する際、KeyAgreeRecipientInfoの処理過程でKeyEncryptionAlgorithmIdentifierのフィールドが欠落しているとNULLポインタ参照が発生する →サービス運用妨害（DoS）状態が引き起こされる
・CMS KeyTransportRecipientInfo処理時のNULLポインタ参照（CVE-2026-28390） CMS EnvelopedDataメッセージを処理する際、KeyTransportRecipientInfo処理過程でSourceFuncアルゴリズムのパラメータが欠落しているとNULLポインタ参照が発生する →サービス運用妨害（DoS）状態が引き起こされる
・16進数変換時におけるヒープベースのバッファオーバーフロー（CVE-2026-31789） 極端に大きなOCTET STRINGを16進文字列に変換する際、32bit環境においてヒープベースのバッファオーバーフローが発生する →サービス運用妨害（DoS）状態が引き起こされたり、任意のコードが実行されたりする
JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。なお開発者は、各脆弱性への対策として下記のバージョンをリリースしている。
OpenSSL 3.6.2 OpenSSL 3.5.6 OpenSSL 3.4.5 OpenSSL 3.3.7 OpenSSL 3.0.20 OpenSSL 1.1.1zg（プレミアムサポートカスタマのみ） OpenSSL 1.0.2zp（プレミアムサポートカスタマのみ）
Vocabulary
General
Proper noun
JLPT N2
JLPT N1
| # | 言葉 | 意味 |
|---|---|---|
| 24 | 系 | けい (系) : 1. system; lineage; group 2. corollary |
| 12 | 処理 | しょり (処理) : processing; dealing with; treatment; disposition; disposal |
| 8 | 脆弱性 | ぜいじゃくせい (脆弱性) : vulnerability; weakness; fragility |
| 8 | 影響 | えいきょう (影響) : 1. influence; effect 2. to influence; to affect; to have an influence on; to impact; to have an effect on |
| 6 | 各 | かく (各) : each; every; all |
| 6 | 際 | きわ (際) : 1. edge; brink; verge; side 2. time; moment of |
| 6 | 発生 | はっせい (発生) : 1. outbreak; spring forth; occurrence; incidence 2. generation (e.g. of power or heat); genesis; origin |
| 6 | 運用 | うんよう (運用) : 1. making use of; application; practical use; effective management (e.g. of funds) 2. operation; handling; steering (esp. a boat) |
| 6 | 妨害 | ぼうがい (妨害) : disturbance; obstruction; hindrance; jamming; interference |
| 6 | 状態 | じょうたい (状態) : state; condition; situation; appearance; circumstances |
| 6 | 引き起こす | ひきおこす (引き起こす) : 1. to cause; to induce; to bring about; to provoke 2. to pull upright; to help up (e.g. a fallen person) |
| 6 | 参照 | さんしょう (参照) : reference; bibliographical reference; consultation; browsing (e.g. when selecting a file to upload on a computer); checking out |
| 4 | 対象 | たいしょう (対象) : target; object (of worship, study, etc.); subject (of taxation, etc.) |
| 3 | 解放 | かいほう (解放) : 1. release; unleashing; liberation; emancipation; setting free 2. deallocation (of computer memory) |
| 3 | 欠落 | けつらく (欠落) : missing; lacking |
| 2 | および | および (及び) : and; as well as |
| 2 | 下記 | かき (下記) : the following |
| 2 | 可能性 | かのうせい (可能性) : potentiality; likelihood; possibility; availability |
| 2 | 深刻 | しんこく (深刻) : serious; severe; grave; acute |
| 2 | 不適切 | ふてきせつ (不適切) : unsuitable; inappropriate; improper |
| 2 | 暗号化 | あんごうか (暗号化) : 1. encryption; encipherment 2. password protection |
| 2 | 情報 | じょうほう (情報) : 1. information; news; intelligence; advices 2. information; data contained in characters, signals, code, etc. |
| 2 | 境界 | きょうかい (境界) : boundary; border; limit; bounds; frontier |
| 2 | 済み | ずみ (済み) : arranged; taken care of; settled; completed; finished |
| 2 | 使用 | しよう (使用) : use; application; employment; utilization; utilisation |
| 2 | 任意 | にんい (任意) : 1. optional; voluntary; arbitrary; random; discretionary; facultative; spontaneous; any 2. arbitrary |
| 2 | 実行 | じっこう (実行) : execution (e.g. of a plan); carrying out; practice; action; implementation; fulfillment; realization |
| 2 | 拡張 | かくちょう (拡張) : 1. expansion; extension; enlargement 2. escape; ESC |
| 2 | 過程 | かてい (過程) : process; course; mechanism |
| 2 | 変換 | へんかん (変換) : 1. change; conversion; transformation 2. transformation |
| 2 | 開発者 | かいはつしゃ (開発者) : developer |
| 2 | のみ | のみ : only; nothing but |
| 1 | 独立行政法人 | どくりつぎょうせいほうじん (独立行政法人) : independent administrative corporation (institution, agency) |
| 1 | 情報処理推進機構 | じょうほうしょりすいしんきこう (情報処理推進機構) : Information-technology Promotion Agency (organization) |
| 1 | 一般社団法人 | いっぱんしゃだんほうじん (一般社団法人) : general incorporated association |
| 1 | 複数 | ふくすう (複数) : plural; multiple; several |
| 1 | 発表 | はっぴょう (発表) : announcement; publication; presenting; statement; communique; making known; breaking (news story); expressing (one's opinion); releasing; unveiling |
| 1 | 通り | とおり (通り) : 1. avenue; street; way; road 2. coming and going; street traffic |
| 1 | 公開 | こうかい (公開) : opening to the public; making available to the public; putting on display; exhibiting; showing (play, movie, etc.); holding (interview, etc.); open; public |
| 1 | 想定 | そうてい (想定) : hypothesis; supposition; assumption |
| 1 | 異なる | ことなる (異なる) : to differ; to vary; to disagree |
| 1 | カプセル化 | カプセルか (カプセル化) : encapsulation |
| 1 | 戻り値 | もどりち (戻り値) : return value; returned value |
| 1 | 判定 | はんてい (判定) : judgement; judgment; decision; adjudication; award; verdict; determination |
| 1 | 成功 | せいこう (成功) : success; hit |
| 1 | 扱う | あつかう (扱う) : 1. to deal with (a person); to treat; to handle; to take care of; to entertain 2. to deal with (a problem); to handle; to manage |
| 1 | 結果 | けっか (結果) : 1. result; consequence; outcome; effect 2. coming to fruition; bearing fruit |
| 1 | 出力 | しゅつりょく (出力) : output (electrical, signal, etc.) |
| 1 | 未 | ひつじ (未) : 1. the Sheep (eighth sign of the Chinese zodiac); the Ram; the Goat 2. hour of the Sheep (around 2pm, 1-3pm, or 2-4pm) |
| 1 | 初期化 | しょきか (初期化) : 1. initialization; initialisation 2. formatting; resetting |
| 1 | まま | うば (乳母) : wet nurse; nursing mother |
| 1 | 送信 | そうしん (送信) : transmission; sending |
| 1 | 機微 | きび (機微) : 1. subtleties; niceties; fine points; inner workings; secrets 2. subtle; sensitive |
| 1 | 漏えい | ろうえい (漏洩) : 1. leak (of secrets, information, etc.); disclosure; divulging 2. leak (of gas, liquid, etc.); leakage; escape (of gas); coming through (of light) |
| 1 | 低 | てい (低) : low (level, value, price, etc.) |
| 1 | 読み取る | よみとる (読み取る) : 1. to read and understand; to take in 2. to sense from external cues; to read (someone's) mind |
| 1 | 復号 | ふくごう (復号) : decoding; decryption |
| 1 | 暗号 | あんごう (暗号) : code; password; cipher |
| 1 | 最大 | さいだい (最大) : biggest; greatest; largest; maximum |
| 1 | 読み取り | よみとり (読み取り) : reading (e.g. by a scanner) |
| 1 | 検証 | けんしょう (検証) : verification; inspection |
| 1 | 組み合わせ | くみあわせ (組み合わせ) : 1. combination; assortment; set 2. matching (in a contest); pairing |
| 1 | 含む | ふくむ (含む) : 1. to contain; to comprise; to have; to hold; to include; to embrace 2. to hold in the mouth |
| 1 | 進数 | しんすう (進数) : (number) base (e.g. 10) |
| 1 | 極端 | きょくたん (極端) : extreme; extremity |
| 1 | 進 | しん (進) : Shin (fem; surname) |
| 1 | 文字列 | もじれつ (文字列) : character string |
| 1 | 環境 | かんきょう (環境) : environment; circumstance |
| 1 | 提供 | ていきょう (提供) : 1. offer; tender; providing; supplying; making available; donating (blood, organs, etc.) 2. sponsoring (a TV program) |
| 1 | もと | もと (元) : 1. origin; source 2. base; basis; foundation; root |
| 1 | 最新版 | さいしんばん (最新版) : latest version; latest edition |
| 1 | 呼びかける | よびかける (呼びかける) : 1. to call out to; to hail; to address 2. to appeal |
| 1 | なお | なお (尚) : 1. still; yet 2. more; still more; greater; further |
| 1 | 対策 | たいさく (対策) : measure; step; countermeasure; counterplan; countermove; strategy; preparation (e.g. for a test) |