Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 問題摘要：惡意伺服器可以透過 status_request 延伸模組提供特製的回應，從而在用戶端的憑證驗證路徑中觸發雙重釋放，從而利用 OCSP 裝訂TLS。
    影響摘要：成功利用攻擊者可透過雙重釋放來損毀堆積記憶體，進而導致拒絕服務，或可能是攻擊者控制程式碼執行或其他未定義的行為。如果啟用 OCSP 裝訂，且 TLS 用戶端連線至惡意伺服器，則在檢查裝訂回應時，特製的 OCSP 裝訂回應可在 TLS 用戶端中觸發雙重釋放。OCSP 裝訂預設未啟用。透過雙重釋放實現可靠的程式碼執行在技術上很複雜，並且高度依賴環境，但拒絕服務的影響很容易實現，因此需要中等嚴重性。此問題不會影響任何 FIPS 模組，因為受影響的程式碼位於 OpenSSL FIPS 模組邊界之外。（CVE-2026-35188）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

远程主机上安装的 OpenSSL 版本低于 3.6.3。因此，该软件受到 3.6.3 公告中提及的多个漏洞影响。

  - 问题摘要：特别构建 PKCS#7 消息或 S/MIME 带符号消息可在签名验证期间 PKCS#7 触发释放后使用。影响汇总：释放后使用可能会导致进程崩溃、堆损坏，或可能造成远程代码执行。当处理 PKCS#7 消息或 S/MIME 带符号消息时，如果 SignedData digestAlgorithms 字段以空 ASN.1 SET 的形式存在，则 OpenSSL 可能会在 PKCS7_verify() 期间错误地释放调用程序拥有的 BIO。调用应用程序随后对 BIO 的使用会导致释放后使用情况。在常见情况下，应用程序稍后对最初传递给 PKCS7_verify() 的 BIO 调用 BIO_free() 时，会发生此情况。这可能会导致崩溃或其他内存损坏，具体取决于分配器行为和应用程序特定的 BIO 使用模式。在某些应用程序上下文中，此问题可能被利用于远程代码执行。使用 OpenSSL PKCS#7 API 处理消息或 S/MIME 带符号消息的PKCS#7应用程序可能会受到影响。将 CMS API 用于此处理的应用程序不受影响。4.0、3.6、3.5、3.4 和 3.0 中的 FIPS 模块不受此问题的影响，因为受影响的代码位于 OpenSSL FIPS 模块边界之外。(CVE-2026-45447)

  - 问题摘要：当 CMS 基于密码的解密（RFC 3211 / PWRI 密钥解包）处理攻击者提供的 CMS 数据时，攻击者选择的流模式 KEK 密码可在 kek_unwrap_key() 中触发堆越界读取。影响汇总：堆缓冲区过度读取可触发崩溃，如果输入缓冲区以内存页面边界结束，且后续页面未映射，则可能导致应用程序拒绝服务。不会泄露信息，因为过度读取字节不会泄露给攻击者。密钥解包功能执行 RFC 中指定的检查字节测试，该测试从基于消息中封装的密钥长度的堆分配中读取 7 字节。存在基于封装密码的块长度的最小长度检查。但是，该密码是从攻击者的 PWRI keyEncryptionAlgorithm 中携带的 OID 中选择的，且不要求该密码是块密码。当攻击者选择流模式密码时，防护措施将失效，且含有解包密钥的分配缓冲区可能太小，无法符合 RFC 中指定的检查字节，因此可能会发生缓冲区过度读取。调用不受信任的 CMS 数据中的 CMS_decrypt() 或 CMS_decrypt_set1_password() 的应用程序（等同于 openssl cms
    -解密 -pwri_password ...）容易受到此问题的影响。无需密码知识：在任何认证成功之前，都会在尝试解包期间发生越界读取。越界读取受限于几个字节，并且不会写入输出，因此不会泄露信息。
    触发崩溃需要向边界未映射内存进行分配，而普通分配器不太可能出现此情况。FIPS 模块不受此问题影响。(CVE-2026-9076)

  - 问题摘要：在 ASN1_mbstring_ncopy() 中为 Unicode 输出调整目标缓冲区大小时发生的带符号整数溢出，可导致堆缓冲区溢出。影响摘要：堆缓冲区溢出可能导致崩溃，或可能导致攻击者控制代码执行或其他未定义的行为。在 ASN1_mbstring_copy() 和 ASN1_mbstring_ncopy() 中，Unicode 输出的目标大小以带符号的 int 计算得出：左移 BMPSTRING (UTF-16) 和 UNIVERSALSTRING (UTF-32) 的输入字符计数，并对 UTF8STRING 每个字符的字节数进行求和。当输入达到约 2^30 个字符时，计算将溢出。在最坏的情况下（2^30 个字符的 UNIVERSALSTRING），大小值会回绕为零，调用 OPENSSL_malloc(1)，后续的字符复制操作将在一字节分配空间之外写入数 GB 的数据。X.509 证书处理通过 ASN1_STRING_set_by_NID() 路由，其 DIRSTRING_TYPE 掩码排除 UNIVERSALSTRING，且每个 NID 对应的长度限制约束了输入长度上限；OpenSSL 中没有任何网络协议或证书处理路径执行该溢出。触发该缺陷需要应用程序直接调用 ASN1_mbstring_copy() 或 ASN1_mbstring_ncopy()，或通过 ASN1_STRING_TABLE_add() 注册自定义字符串类型，并处理攻击者可控的、具有半 GB 或更大量级的输入数据。出于这些原因，我们将该问题的严重性定为低危。4.0、3.6、3.5、3.4 和 3.0 中的 FIPS 模块不受此问题的影响，因为受影响的代码位于 OpenSSL FIPS 模块边界之外。(CVE-2026-7383)

  - 问题摘要：AES-SIV (RFC 5297) 和 AES-GCM-SIV (RFC 8452) 的实现使用空密文错误地处理 AAD（附加认证数据）的认证，从而允许伪造此类消息。影响汇总：攻击者可以使用任意 AAD 伪造空消息，使用这些密码发送给受害者的应用程序。AES-SIV (RFC 5297) 和 AES-GCM-SIV (RFC 8452) 是防随机数误用的 AEAD 模式：它们接受密钥、随机数、可选 AAD（经认证但未加密的字节）和纯文本，并生成密文和 16 字节标签。解密时，系统会记录“EVP_DecryptFinal_ex()”，仅当成功验证标签时才会返回成功。在这些密码的 OpenSSL 供应商实现中，只有在使用非空数据调用解密函数时，才会计算预期的标签。如果调用程序提供 AAD，然后调用“EVP_DecryptFinal_ex()”而未调用密文更新（收到的密文长度为零时可能发生此情况），则永远不会重新计算标签，并且仍保留其全零值。使用 AES-GCM-SIV 时，发送任意 AAD、空密文和全零标签的攻击者会以单次方式通过任何未知密钥的认证。使用 AES-SIV 时，为了发起攻击，应用程序必须在不重置密钥的情况下重用解密上下文。AES-SIV 是自 OpenSSL 3.0 开始实现的。AES-GCM-SIV 是自 OpenSSL 3.2 开始实现的。OpenSSL 本身 (TLS/CMS/PKCS7/HPKE/QUIC) 中实现的协议均不支持 AES-GCM-SIV 或 AES-SIV。要挂载攻击，应用程序必须实现自己的协议并使用 EVP 接口。此外，当具有空密文的消息到达时，它们必须跳过密文更新。4.0、3.6、3.5、3.4 和 3.0 中的 FIPS 模块不受此问题的影响，因为这些算法未经 FIPS 批准且受影响的代码位于 OpenSSL FIPS 模块边界之外。(CVE-2026-45446)

  - 问题摘要：当应用程序通过公共 EVP_Cipher() 单次调用接口驱动 AES-OCB 上下文时，应用程序提供的初始化矢量 (IV) 会被静默丢弃。影响汇总：
    无论调用方提供的 IV 如何，在同一密钥下加密的每条消息都使用相同的有效随机数，从而导致（密钥、随机数）被重用和机密性丢失。如果使用相同的代码路径计算认证标签，则该标签仅依赖于（密钥，IV）对而不依赖于明文或密文，允许从单个捕获的消息中普遍伪造任意密文。OpenSSL 提供两种驱动密码的方法：记录的流式接口 (EVP_CipherUpdate / EVP_CipherFinal_ex) 和较低级别的单次调用 EVP_Cipher()，其文档明确指出，不建议应用程序使用 EVP_Cipher()，支持使用 EVP_CipherUpdate() 和 EVP_CipherFinal_ex()。OCB 提供商的流式处理程序在处理数据前，会将应用程序提供的 IV 注入 OCB 上下文；单次调用处理程序则没有执行此程序。因此，无论调用方的 IV 如何，每次调用 AES-OCB 上下文中的 EVP_Cipher() 都会以密码初始化留下的全零密钥衍生偏移状态运行。如果随后使用 EVP_EncryptFinal_ex() 获取认证标签，则延迟的 IV 设置会在该时运行并清除本应通过明文累积的运行校验和。生成的标签仅是（密钥、 IV）的函数，并针对同一 （密钥、 IV）对生成的任何密文进行验证。OpenSSL SSL/TLS 实现不受影响：AES-OCB 不是 TLS 加密套件，libssl 在任何情况下都不会调用 EVP_Cipher()。通过记录的流式 AEAD API (EVP_CipherUpdate / EVP_CipherFinal_ex) 驱动 AES-OCB 的应用程序不受影响。只有将 AES-OCB 密码与 EVP_Cipher() 单次调用 API 相结合的应用程序容易受到影响。4.0、3.6、3.5、3.4 和 3.0 中的 FIPS 模块不受此问题的影响，因为 AES-OCB 位于 OpenSSL FIPS 模块边界之外。(CVE-2026-45445)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 OpenSSL 版本低于 4.0.1。因此，该软件受到 4.0.1 公告中提及的多个漏洞影响。

  - 问题摘要：特别构建 PKCS#7 消息或 S/MIME 带符号消息可在签名验证期间 PKCS#7 触发释放后使用。影响汇总：释放后使用可能会导致进程崩溃、堆损坏，或可能造成远程代码执行。当处理 PKCS#7 消息或 S/MIME 带符号消息时，如果 SignedData digestAlgorithms 字段以空 ASN.1 SET 的形式存在，则 OpenSSL 可能会在 PKCS7_verify() 期间错误地释放调用程序拥有的 BIO。调用应用程序随后对 BIO 的使用会导致释放后使用情况。在常见情况下，应用程序稍后对最初传递给 PKCS7_verify() 的 BIO 调用 BIO_free() 时，会发生此情况。这可能会导致崩溃或其他内存损坏，具体取决于分配器行为和应用程序特定的 BIO 使用模式。在某些应用程序上下文中，此问题可能被利用于远程代码执行。使用 OpenSSL PKCS#7 API 处理消息或 S/MIME 带符号消息的PKCS#7应用程序可能会受到影响。将 CMS API 用于此处理的应用程序不受影响。4.0、3.6、3.5、3.4 和 3.0 中的 FIPS 模块不受此问题的影响，因为受影响的代码位于 OpenSSL FIPS 模块边界之外。(CVE-2026-45447)

  - 问题摘要：当 CMS 基于密码的解密（RFC 3211 / PWRI 密钥解包）处理攻击者提供的 CMS 数据时，攻击者选择的流模式 KEK 密码可在 kek_unwrap_key() 中触发堆越界读取。影响汇总：堆缓冲区过度读取可触发崩溃，如果输入缓冲区以内存页面边界结束，且后续页面未映射，则可能导致应用程序拒绝服务。不会泄露信息，因为过度读取字节不会泄露给攻击者。密钥解包功能执行 RFC 中指定的检查字节测试，该测试从基于消息中封装的密钥长度的堆分配中读取 7 字节。存在基于封装密码的块长度的最小长度检查。但是，该密码是从攻击者的 PWRI keyEncryptionAlgorithm 中携带的 OID 中选择的，且不要求该密码是块密码。当攻击者选择流模式密码时，防护措施将失效，且含有解包密钥的分配缓冲区可能太小，无法符合 RFC 中指定的检查字节，因此可能会发生缓冲区过度读取。调用不受信任的 CMS 数据中的 CMS_decrypt() 或 CMS_decrypt_set1_password() 的应用程序（等同于 openssl cms
    -解密 -pwri_password ...）容易受到此问题的影响。无需密码知识：在任何认证成功之前，都会在尝试解包期间发生越界读取。越界读取受限于几个字节，并且不会写入输出，因此不会泄露信息。
    触发崩溃需要向边界未映射内存进行分配，而普通分配器不太可能出现此情况。FIPS 模块不受此问题影响。(CVE-2026-9076)

  - 问题摘要：在 ASN1_mbstring_ncopy() 中为 Unicode 输出调整目标缓冲区大小时发生的带符号整数溢出，可导致堆缓冲区溢出。影响摘要：堆缓冲区溢出可能导致崩溃，或可能导致攻击者控制代码执行或其他未定义的行为。在 ASN1_mbstring_copy() 和 ASN1_mbstring_ncopy() 中，Unicode 输出的目标大小以带符号的 int 计算得出：左移 BMPSTRING (UTF-16) 和 UNIVERSALSTRING (UTF-32) 的输入字符计数，并对 UTF8STRING 每个字符的字节数进行求和。当输入达到约 2^30 个字符时，计算将溢出。在最坏的情况下（2^30 个字符的 UNIVERSALSTRING），大小值会回绕为零，调用 OPENSSL_malloc(1)，后续的字符复制操作将在一字节分配空间之外写入数 GB 的数据。X.509 证书处理通过 ASN1_STRING_set_by_NID() 路由，其 DIRSTRING_TYPE 掩码排除 UNIVERSALSTRING，且每个 NID 对应的长度限制约束了输入长度上限；OpenSSL 中没有任何网络协议或证书处理路径执行该溢出。触发该缺陷需要应用程序直接调用 ASN1_mbstring_copy() 或 ASN1_mbstring_ncopy()，或通过 ASN1_STRING_TABLE_add() 注册自定义字符串类型，并处理攻击者可控的、具有半 GB 或更大量级的输入数据。出于这些原因，我们将该问题的严重性定为低危。4.0、3.6、3.5、3.4 和 3.0 中的 FIPS 模块不受此问题的影响，因为受影响的代码位于 OpenSSL FIPS 模块边界之外。(CVE-2026-7383)

  - 问题摘要：AES-SIV (RFC 5297) 和 AES-GCM-SIV (RFC 8452) 的实现使用空密文错误地处理 AAD（附加认证数据）的认证，从而允许伪造此类消息。影响汇总：攻击者可以使用任意 AAD 伪造空消息，使用这些密码发送给受害者的应用程序。AES-SIV (RFC 5297) 和 AES-GCM-SIV (RFC 8452) 是防随机数误用的 AEAD 模式：它们接受密钥、随机数、可选 AAD（经认证但未加密的字节）和纯文本，并生成密文和 16 字节标签。解密时，系统会记录“EVP_DecryptFinal_ex()”，仅当成功验证标签时才会返回成功。在这些密码的 OpenSSL 供应商实现中，只有在使用非空数据调用解密函数时，才会计算预期的标签。如果调用程序提供 AAD，然后调用“EVP_DecryptFinal_ex()”而未调用密文更新（收到的密文长度为零时可能发生此情况），则永远不会重新计算标签，并且仍保留其全零值。使用 AES-GCM-SIV 时，发送任意 AAD、空密文和全零标签的攻击者会以单次方式通过任何未知密钥的认证。使用 AES-SIV 时，为了发起攻击，应用程序必须在不重置密钥的情况下重用解密上下文。AES-SIV 是自 OpenSSL 3.0 开始实现的。AES-GCM-SIV 是自 OpenSSL 3.2 开始实现的。OpenSSL 本身 (TLS/CMS/PKCS7/HPKE/QUIC) 中实现的协议均不支持 AES-GCM-SIV 或 AES-SIV。要挂载攻击，应用程序必须实现自己的协议并使用 EVP 接口。此外，当具有空密文的消息到达时，它们必须跳过密文更新。4.0、3.6、3.5、3.4 和 3.0 中的 FIPS 模块不受此问题的影响，因为这些算法未经 FIPS 批准且受影响的代码位于 OpenSSL FIPS 模块边界之外。(CVE-2026-45446)

  - 问题摘要：当应用程序通过公共 EVP_Cipher() 单次调用接口驱动 AES-OCB 上下文时，应用程序提供的初始化矢量 (IV) 会被静默丢弃。影响汇总：
    无论调用方提供的 IV 如何，在同一密钥下加密的每条消息都使用相同的有效随机数，从而导致（密钥、随机数）被重用和机密性丢失。如果使用相同的代码路径计算认证标签，则该标签仅依赖于（密钥，IV）对而不依赖于明文或密文，允许从单个捕获的消息中普遍伪造任意密文。OpenSSL 提供两种驱动密码的方法：记录的流式接口 (EVP_CipherUpdate / EVP_CipherFinal_ex) 和较低级别的单次调用 EVP_Cipher()，其文档明确指出，不建议应用程序使用 EVP_Cipher()，支持使用 EVP_CipherUpdate() 和 EVP_CipherFinal_ex()。OCB 提供商的流式处理程序在处理数据前，会将应用程序提供的 IV 注入 OCB 上下文；单次调用处理程序则没有执行此程序。因此，无论调用方的 IV 如何，每次调用 AES-OCB 上下文中的 EVP_Cipher() 都会以密码初始化留下的全零密钥衍生偏移状态运行。如果随后使用 EVP_EncryptFinal_ex() 获取认证标签，则延迟的 IV 设置会在该时运行并清除本应通过明文累积的运行校验和。生成的标签仅是（密钥、 IV）的函数，并针对同一 （密钥、 IV）对生成的任何密文进行验证。OpenSSL SSL/TLS 实现不受影响：AES-OCB 不是 TLS 加密套件，libssl 在任何情况下都不会调用 EVP_Cipher()。通过记录的流式 AEAD API (EVP_CipherUpdate / EVP_CipherFinal_ex) 驱动 AES-OCB 的应用程序不受影响。只有将 AES-OCB 密码与 EVP_Cipher() 单次调用 API 相结合的应用程序容易受到影响。4.0、3.6、3.5、3.4 和 3.0 中的 FIPS 模块不受此问题的影响，因为 AES-OCB 位于 OpenSSL FIPS 模块边界之外。(CVE-2026-45445)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上运行的 Tenable Identity Exposure 版本低于 3.93.5。因此，该主机受到公告所述 TNS-2026-16 的多个漏洞影响：

  - Tenable Identity Exposure 在 /w/api/* 下包含多个未经身份验证的 API 端点，这些端点会将敏感的应用程序配置数据（包括明文 LDAP 凭据、SAML 配置、用户帐户和目录设置）暴露给未经身份验证的远程攻击者。受影响的响应会与 Cache-Control： public 标头一起提供，不使用 Vary： Cookie，从而允许反向代理和 CDN 缓存敏感数据并将其提供给未经认证的用户（即使在应用了认证之后）。（CVE-2026-13007）

  - 在 ASP.NET Core 中，http 请求的不一致解释（“http 请求/响应走私”）允许授权的攻击者通过网络绕过安全功能。(CVE-2025-55315)

  - 将过大的 OCTET STRING 值转换为十六进制字符串，可导致在 32 位平台上发生堆缓冲区溢出。堆缓冲区溢出可能导致崩溃，或可能导致攻击者控制代码执行或其他未定义的行为。(CVE-2026-31789)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 问题摘要：恶意服务器可通过 status_request 扩展传递构建的响应来利用 TLS OCSP stapling，从而在客户端的证书验证路径中触发双重释放。
    影响汇总：成功利用可让攻击者通过双重释放来损坏堆内存，进而可能导致拒绝服务，或可能是攻击者控制代码执行或其他未定义的行为。如果启用了 OCSP 装订并且 TLS 客户端连接到恶意服务器，则当检查装订响应时，构建的 OCSP 装订响应可在 TLS 客户端中触发双重释放。默认不启用 OCSP Stapling。通过双重释放实现可靠的代码执行在技术上很复杂，且高度依赖环境，但拒绝服务影响很容易实现，因此需要中等严重性。No FIPS 模块受到此问题的影响，受影响的代码位于 OpenSSL FIPS 模块边界之外。（CVE-2026-35188）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端主機上安裝的 OpenSSL 為 3.6.3 之前版本。因此，它會受到 3.6.3 公告中所提及的多個弱點影響。

  - 問題摘要：特製 PKCS#7 或 S/MIME 簽章訊息可能會在 PKCS#7 簽章驗證期間觸發釋放後使用。影響摘要：釋放後使用可能會導致處理程序當機、堆積損毀，或可能的遠端程式碼執行。處理 PKCS#7 或 S/MIME 簽章訊息時，如果 SignedData digestAlgorithms 欄位以空白 ASN.1 SET 形式存在，則 OpenSSL 可能會在 PKCS7_verify() 期間錯誤地釋放呼叫端擁有的 BIO。呼叫端應用程式後續使用 BIO 會導致釋放後使用狀況。在常見情況下，當應用程式稍後在最初傳遞給 PKCS7_verify() 的 BIO 上呼叫 BIO_free() 時，就會發生這種情況。視乎配置器行為和應用程式特定的 BIO 使用模式而定，這可能會導致當機或其他記憶體損毀。在某些應用程式環境中，這可能可用於遠端程式碼執行。使用 OpenSSL PKCS#7 API 處理 PKCS#7 或 S/MIME 簽章訊息的應用程式可能會受到影響。使用 CMS API 進行此處理的應用程式不受影響。4.0、3.6、3.5、3.4 和 3.0 中的 FIPS 模組不受此問題影響，因為受影響程式碼位於 OpenSSL FIPS 模組邊界之外。(CVE-2026-45447)

  - 問題摘要：當 CMS 密碼型解密 (RFC 3211/PWRI 金鑰解包) 處理攻擊者提供的 CMS 資料時，攻擊者選擇的串流模式 KEK 加密可觸發 kek_unwrap_key() 中的堆積越界讀取。影響摘要：如果輸入緩衝區在記憶體頁面界限處結束，且下一頁未對應，堆積緩衝區過度讀取可能會觸發損毀，進而導致應用程式拒絕服務。由於過度讀取的位元組不會洩露給攻擊者，因此不會洩露資訊。金鑰展開函式會執行 RFC 中指定的檢查位元組測試，該測試會根據訊息中包裝的金鑰長度，從堆積配置中讀取 7 個位元組。會根據包裝密碼的區塊長度進行最小長度檢查。不過，加密是從攻擊者的 PWRI keyEncryptionAlgorithm 中攜帶的 OID 中選取，而不要求加密必須是區塊密碼。當攻擊者選取串流模式加密時，防護將無效，而且包含未包裝金鑰的配置緩衝區可能太小，不符合 RFC 中指定的檢查位元組，進而可能導致緩衝區過度讀取。在不受信任的 CMS 資料上調用 CMS_decrypt() 或 CMS_decrypt_set1_password()
    的應用程式 (相當於 openssl cms-decrypt -pwri_password ...) 容易受到此問題的影響。不需要任何密碼知識：在任何驗證成功之前，會在嘗試展開期間發生過度讀取。過度讀取僅限於幾個位元組，不會寫入輸出，因此不會有資訊洩露。
    觸發損毀需要配置的邊界緊鄰未對應的記憶體，這對於一般配置器來說不太可能發生。FIPS 模組不受此問題影響。(CVE-2026-9076)

  - 問題摘要：在 ASN1_mbstring_ncopy() 中調整 Unicode 輸出的目標緩衝區大小時，帶正負號的整數溢位可能會導致堆積緩衝區溢位。影響摘要：堆積緩衝區溢位可能導致當機，或可能導致攻擊者控製程式碼執行或其他未定義的行為。在 ASN1_mbstring_copy() 和 ASN1_mbstring_ncopy() 中，Unicode 輸出的目標大小以帶正負號的整數計算：透過將 BMPSTRING (UTF-16) 和 UNIVERSALSTRING (UTF-32) 的輸入字元計數左移，以及將 UTF8STRING 的每個字元位元組計數相加。當輸入達到大約 2^30 個字元時，計算會溢位。在最壞的情況下 (2^30 個字元的 UNIVERSALSTRING)，大小會包裝為零，會呼叫 OPENSSL_malloc(1)，後續字元副本會在單位元組配置後面寫入幾 GB。X.509 憑證處理會透過 ASN1_STRING_set_by_NID() 路由，其 DIRSTRING_TYPE 遮罩會排除 UNIVERSALSTRING，且其對於 NID 的大小限制可限制輸入長度；OpenSSL 中沒有任何網路通訊協定或憑證處理路徑會執行溢位。觸發錯誤需要應用程式直接呼叫 ASN1_mbstring_copy() 或 ASN1_mbstring_ncopy()，或透過 ASN1_STRING_TABLE_add() 註冊自訂字串類型，且攻擊者控制的輸入的量級為半 GB 或更多。基於這些原因，我們將此問題的嚴重性指定為「低危」。4.0、3.6、3.5、3.4 和 3.0 中的 FIPS 模組不受此問題影響，因為受影響程式碼位於 OpenSSL FIPS 模組邊界之外。(CVE-2026-7383)

  - 問題摘要：AES-SIV (RFC 5297) 和 AES-GCM-SIV (RFC 8452) 的實作未正確處理具有空密文的 AAD (附加驗證資料) 的驗證，因而允許偽造此類訊息。影響摘要：攻擊者可以使用這些加密方式，向受害者的應用程式偽造帶有任意 AAD 的空白訊息。AES-SIV (RFC 5297) 和 AES-GCM-SIV (RFC 8452) 是防隨機濫用的 AEAD 模式：它們接受金鑰、隨機、選用 AAD (已驗證但未加密的位元組) 和純文字，並產生密文加上 16 位元組標籤。解密期間，只有在標籤成功驗證時，「EVP_DecryptFinal_ex()」才會記錄為傳回成功。在這些加密方式的 OpenSSL 提供者實作中，只有在使用非空白資料叫用解密函式時，才會計算預期的標籤。如果調用端提供 AAD，然後呼叫「EVP_DecryptFinal_ex()」，而不叫用加密文字更新 (當收到的加密文字長度為零時可能會發生)，則系統永遠不會重新計算標籤，且仍會保留其全零值。使用 AES-GCM-SIV 時，傳送任意 AAD、空密文和全零標籤的攻擊者會以他們不知道的任何金鑰通過身份驗證 (僅單次)。使用 AES-SIV 時，若要實現掛載攻擊，應用程式必須重複使用解密內容，而不重設金鑰。AES-SIV 是從 OpenSSL 3.0 開始實作的。AES-GCM-SIV 是從 OpenSSL 3.2 開始實作的。OpenSSL 本身 (TLS/CMS/PKCS7/HPKE/QUIC) 實作的任何通訊協定均不支援 AES-GCM-SIV 或 AES-SIV。若要實現掛載攻擊，應用程式必須實作自己的通訊協定，並使用 EVP 介面。此外，當帶有空密文的訊息到達時，他們必須跳過密文更新。4.0、3.6、3.5、3.4 和 3.0 中的 FIPS 模組不受此問題影響，因為這些演算法未經 FIPS 核准，且受影響程式碼位於 OpenSSL FIPS 模組邊界之外。(CVE-2026-45446)

  - 問題摘要：當應用程式透過公用 EVP_Cipher() 一次性介面驅動 AES-OCB 內容時，應用程式提供的初始化向量 (IV) 會以無訊息方式捨棄。影響摘要：
    不論調用者提供的 IV 為何，在相同金鑰下加密的每則訊息都會使用相同的有效隨機數，導致 (金鑰、隨機數) 重複使用和機密性遺失。如果使用相同的程式碼路徑來計算驗證標籤，則標籤僅依賴於 (key, IV) 對，而不依賴於純文字或密文，因此允許從單一擷取的訊息中全域偽造任意密文。OpenSSL 提供兩種驅動密碼的方法：記錄在案的串流介面 (EVP_CipherUpdate/EVP_CipherFinal_ex) 和較低層級的一次性 EVP_Cipher()，其文件明確建議應用程式不要使用，而應使用 EVP_CipherUpdate() 和 EVP_CipherFinal_ex()。OCB 提供者的串流處理常式會在處理資料之前，將應用程式提供的 IV 排清至 OCB 內容；一次性處理常式並無這種行為。因此，無論調用方的 IV 為何，在 AES-OCB 內容中對 EVP_Cipher() 的每次調用都會以加密初始化留下的全零鍵派生偏移狀態運行。如果隨後使用 EVP_EncryptFinal_ex() 來取得驗證標籤，則延遲的 IV 設定會在該點執行，並清除應該在純文字上累積的執行總和檢查碼。產生的標籤僅是 (key, IV) 的函數，並會針對相同 (key, IV) 對下產生的任何密文進行驗證。OpenSSL SSL/TLS 實作不受影響：AES-OCB 不是 TLS 加密套件，libssl 在任何情況下都不會呼叫 EVP_Cipher()。透過記載的串流 AEAD API (EVP_CipherUpdate/EVP_CipherFinal_ex) 驅動 AES-OCB 的應用程式不受影響。只有將 AES-OCB 加密與 EVP_Cipher() 一次性 API 結合的應用程式才容易受到攻擊。4.0、3.6、3.5、3.4 和 3.0 中的 FIPS 模組不受此問題影響，因為 AES-OCB 位於 OpenSSL FIPS 模組邊界之外。(CVE-2026-45445)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 OpenSSL 為 4.0.1 之前版本。因此，它會受到 4.0.1 公告中所提及的多個弱點影響。

  - 問題摘要：特製 PKCS#7 或 S/MIME 簽章訊息可能會在 PKCS#7 簽章驗證期間觸發釋放後使用。影響摘要：釋放後使用可能會導致處理程序當機、堆積損毀，或可能的遠端程式碼執行。處理 PKCS#7 或 S/MIME 簽章訊息時，如果 SignedData digestAlgorithms 欄位以空白 ASN.1 SET 形式存在，則 OpenSSL 可能會在 PKCS7_verify() 期間錯誤地釋放呼叫端擁有的 BIO。呼叫端應用程式後續使用 BIO 會導致釋放後使用狀況。在常見情況下，當應用程式稍後在最初傳遞給 PKCS7_verify() 的 BIO 上呼叫 BIO_free() 時，就會發生這種情況。視乎配置器行為和應用程式特定的 BIO 使用模式而定，這可能會導致當機或其他記憶體損毀。在某些應用程式環境中，這可能可用於遠端程式碼執行。使用 OpenSSL PKCS#7 API 處理 PKCS#7 或 S/MIME 簽章訊息的應用程式可能會受到影響。使用 CMS API 進行此處理的應用程式不受影響。4.0、3.6、3.5、3.4 和 3.0 中的 FIPS 模組不受此問題影響，因為受影響程式碼位於 OpenSSL FIPS 模組邊界之外。(CVE-2026-45447)

  - 問題摘要：當 CMS 密碼型解密 (RFC 3211/PWRI 金鑰解包) 處理攻擊者提供的 CMS 資料時，攻擊者選擇的串流模式 KEK 加密可觸發 kek_unwrap_key() 中的堆積越界讀取。影響摘要：如果輸入緩衝區在記憶體頁面界限處結束，且下一頁未對應，堆積緩衝區過度讀取可能會觸發損毀，進而導致應用程式拒絕服務。由於過度讀取的位元組不會洩露給攻擊者，因此不會洩露資訊。金鑰展開函式會執行 RFC 中指定的檢查位元組測試，該測試會根據訊息中包裝的金鑰長度，從堆積配置中讀取 7 個位元組。會根據包裝密碼的區塊長度進行最小長度檢查。不過，加密是從攻擊者的 PWRI keyEncryptionAlgorithm 中攜帶的 OID 中選取，而不要求加密必須是區塊密碼。當攻擊者選取串流模式加密時，防護將無效，而且包含未包裝金鑰的配置緩衝區可能太小，不符合 RFC 中指定的檢查位元組，進而可能導致緩衝區過度讀取。在不受信任的 CMS 資料上調用 CMS_decrypt() 或 CMS_decrypt_set1_password()
    的應用程式 (相當於 openssl cms-decrypt -pwri_password ...) 容易受到此問題的影響。不需要任何密碼知識：在任何驗證成功之前，會在嘗試展開期間發生過度讀取。過度讀取僅限於幾個位元組，不會寫入輸出，因此不會有資訊洩露。
    觸發損毀需要配置的邊界緊鄰未對應的記憶體，這對於一般配置器來說不太可能發生。FIPS 模組不受此問題影響。(CVE-2026-9076)

  - 問題摘要：在 ASN1_mbstring_ncopy() 中調整 Unicode 輸出的目標緩衝區大小時，帶正負號的整數溢位可能會導致堆積緩衝區溢位。影響摘要：堆積緩衝區溢位可能導致當機，或可能導致攻擊者控製程式碼執行或其他未定義的行為。在 ASN1_mbstring_copy() 和 ASN1_mbstring_ncopy() 中，Unicode 輸出的目標大小以帶正負號的整數計算：透過將 BMPSTRING (UTF-16) 和 UNIVERSALSTRING (UTF-32) 的輸入字元計數左移，以及將 UTF8STRING 的每個字元位元組計數相加。當輸入達到大約 2^30 個字元時，計算會溢位。在最壞的情況下 (2^30 個字元的 UNIVERSALSTRING)，大小會包裝為零，會呼叫 OPENSSL_malloc(1)，後續字元副本會在單位元組配置後面寫入幾 GB。X.509 憑證處理會透過 ASN1_STRING_set_by_NID() 路由，其 DIRSTRING_TYPE 遮罩會排除 UNIVERSALSTRING，且其對於 NID 的大小限制可限制輸入長度；OpenSSL 中沒有任何網路通訊協定或憑證處理路徑會執行溢位。觸發錯誤需要應用程式直接呼叫 ASN1_mbstring_copy() 或 ASN1_mbstring_ncopy()，或透過 ASN1_STRING_TABLE_add() 註冊自訂字串類型，且攻擊者控制的輸入的量級為半 GB 或更多。基於這些原因，我們將此問題的嚴重性指定為「低危」。4.0、3.6、3.5、3.4 和 3.0 中的 FIPS 模組不受此問題影響，因為受影響程式碼位於 OpenSSL FIPS 模組邊界之外。(CVE-2026-7383)

  - 問題摘要：AES-SIV (RFC 5297) 和 AES-GCM-SIV (RFC 8452) 的實作未正確處理具有空密文的 AAD (附加驗證資料) 的驗證，因而允許偽造此類訊息。影響摘要：攻擊者可以使用這些加密方式，向受害者的應用程式偽造帶有任意 AAD 的空白訊息。AES-SIV (RFC 5297) 和 AES-GCM-SIV (RFC 8452) 是防隨機濫用的 AEAD 模式：它們接受金鑰、隨機、選用 AAD (已驗證但未加密的位元組) 和純文字，並產生密文加上 16 位元組標籤。解密期間，只有在標籤成功驗證時，「EVP_DecryptFinal_ex()」才會記錄為傳回成功。在這些加密方式的 OpenSSL 提供者實作中，只有在使用非空白資料叫用解密函式時，才會計算預期的標籤。如果調用端提供 AAD，然後呼叫「EVP_DecryptFinal_ex()」，而不叫用加密文字更新 (當收到的加密文字長度為零時可能會發生)，則系統永遠不會重新計算標籤，且仍會保留其全零值。使用 AES-GCM-SIV 時，傳送任意 AAD、空密文和全零標籤的攻擊者會以他們不知道的任何金鑰通過身份驗證 (僅單次)。使用 AES-SIV 時，若要實現掛載攻擊，應用程式必須重複使用解密內容，而不重設金鑰。AES-SIV 是從 OpenSSL 3.0 開始實作的。AES-GCM-SIV 是從 OpenSSL 3.2 開始實作的。OpenSSL 本身 (TLS/CMS/PKCS7/HPKE/QUIC) 實作的任何通訊協定均不支援 AES-GCM-SIV 或 AES-SIV。若要實現掛載攻擊，應用程式必須實作自己的通訊協定，並使用 EVP 介面。此外，當帶有空密文的訊息到達時，他們必須跳過密文更新。4.0、3.6、3.5、3.4 和 3.0 中的 FIPS 模組不受此問題影響，因為這些演算法未經 FIPS 核准，且受影響程式碼位於 OpenSSL FIPS 模組邊界之外。(CVE-2026-45446)

  - 問題摘要：當應用程式透過公用 EVP_Cipher() 一次性介面驅動 AES-OCB 內容時，應用程式提供的初始化向量 (IV) 會以無訊息方式捨棄。影響摘要：
    不論調用者提供的 IV 為何，在相同金鑰下加密的每則訊息都會使用相同的有效隨機數，導致 (金鑰、隨機數) 重複使用和機密性遺失。如果使用相同的程式碼路徑來計算驗證標籤，則標籤僅依賴於 (key, IV) 對，而不依賴於純文字或密文，因此允許從單一擷取的訊息中全域偽造任意密文。OpenSSL 提供兩種驅動密碼的方法：記錄在案的串流介面 (EVP_CipherUpdate/EVP_CipherFinal_ex) 和較低層級的一次性 EVP_Cipher()，其文件明確建議應用程式不要使用，而應使用 EVP_CipherUpdate() 和 EVP_CipherFinal_ex()。OCB 提供者的串流處理常式會在處理資料之前，將應用程式提供的 IV 排清至 OCB 內容；一次性處理常式並無這種行為。因此，無論調用方的 IV 為何，在 AES-OCB 內容中對 EVP_Cipher() 的每次調用都會以加密初始化留下的全零鍵派生偏移狀態運行。如果隨後使用 EVP_EncryptFinal_ex() 來取得驗證標籤，則延遲的 IV 設定會在該點執行，並清除應該在純文字上累積的執行總和檢查碼。產生的標籤僅是 (key, IV) 的函數，並會針對相同 (key, IV) 對下產生的任何密文進行驗證。OpenSSL SSL/TLS 實作不受影響：AES-OCB 不是 TLS 加密套件，libssl 在任何情況下都不會呼叫 EVP_Cipher()。透過記載的串流 AEAD API (EVP_CipherUpdate/EVP_CipherFinal_ex) 驅動 AES-OCB 的應用程式不受影響。只有將 AES-OCB 加密與 EVP_Cipher() 一次性 API 結合的應用程式才容易受到攻擊。4.0、3.6、3.5、3.4 和 3.0 中的 FIPS 模組不受此問題影響，因為 AES-OCB 位於 OpenSSL FIPS 模組邊界之外。(CVE-2026-45445)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

根據應用程式自我報告的版本號碼，遠端主機上執行的 Tenable Identity Exposure 低於 3.93.5 版。因此會受到 TNS-2026-16 公告中提及的多個弱點影響：

  - Tenable Identity Exposure 在 /w/api/* 下包含多個未經驗證的 API 端點，這些端點會將敏感的應用程式組態資料 （包括明文 LDAP 認證、SAML 組態、使用者帳戶和目錄設定） 暴露給未經驗證的遠端攻擊者。受影響的回應會使用 Cache-Control： public 標頭提供，而不使用 Vary： Cookie，因此即使在套用驗證之後，反向 Proxy 和 CDN 仍可快取敏感資料並將其提供給未經驗證的使用者。（CVE-2026-13007）

  - ASP.NET Core 中出現 http 要求 (「http 請求/回應走私」) 解譯不一致的情況，可讓授權的攻擊者在網路上繞過安全性功能。 (CVE-2025-55315)

  - 將過大的 OCTET STRING 值轉換為十六進位字串，會導致在 32 位元平台上發生堆積緩衝區溢位。堆積緩衝區溢位可能導致當機，或可能導致攻擊者控製程式碼執行或其他未定義的行為。(CVE-2026-31789)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 問題のサマリー:悪意のあるサーバーが、status_request 拡張を通じて細工された応答を配信することで、TLS OCSP Stapling を悪用し、クライアントの証明書検証パスで二重解放を発生させる可能性があります。
    影響のサマリー:悪用に成功すると、攻撃者が二重解放を通じてヒープメモリを破損させ、サービス拒否を引き起こしたり、攻撃者がコードを実行したり、その他の定義されていない動作を引き起こしたりする可能性があります。OCSP ステープリングが有効で、TLS クライアントが悪意のあるサーバーに接続されている場合、ステープルされた応答がチェックされるとき、細工された OCSP ステープリング応答により TLS クライアントで二重解放が発生する可能性があります。OCSP Stapling は、デフォルトでは有効ではありません。二重解放による信頼性の高いコード実行は技術的に複雑で環境への依存度が高くなりますが、サービス拒否の影響は簡単に達成できるため、重要度は中程度です。影響を受けるコードが OpenSSL FIPS モジュールの境界外にあるため、この問題の影響を受ける FIPS モジュールはありません。(CVE-2026-35188)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている OpenSSL は、3.6.3 より前のバージョンです。したがって、3.6.3 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 問題のサマリー: 特別に細工された PKCS#7 または S/MIME 署名付きメッセージにより、PKCS#7 署名認証中に use-after-free が発生する可能性があります。影響のサマリー: メモリ解放後使用 (use-after-free) により、プロセスのクラッシュ、ヒープの破損、またはリモートでのコード実行が引き起こされる可能性があります。PKCS#7 または S/MIME 署名付きメッセージを処理するときに、SignedData digestAlgorithms フィールドが空の ASN.1 SET として存在すると、OpenSSL が PKCS7_verify() 中に呼び出し元所有の BIO を不適切に解放する可能性があります。呼び出し元のアプリケーションが BIO をその後使用すると、メモリ解放後使用 (Use After Free) 状態になります。一般的なケースでは、これはアプリケーションが最初に PKCS7_verify() に渡された BIO で BIO_free() を後に呼び出すときに発生します。アロケーターの動作やアプリケーション固有の BIO 使用パターンによっては、これによりクラッシュやその他のメモリ破損が発生する可能性があります。一部のアプリケーションコンテキストでは、これがリモートコードの実行のために悪用される可能性があります。OpenSSL PKCS#7 API を使用して PKCS#7 または S/MIME 署名のあるメッセージを処理するアプリケーションが影響を受ける可能性があります。この処理に CMS API を使用するアプリケーションは影響を受けません。4.0、3.6、3.5、3.4、3.0 の FIPS モジュールは、この問題による影響を受けません。これは、影響を受けるコードが OpenSSL FIPS モジュール境界の外部にあるためです。(CVE-2026-45447)

  - 問題のサマリー: CMS パスワードベースの復号化 (RFC 3211/PWRI キーアンラップ) が攻撃者指定の CMS データを処理するとき、攻撃者が選択したストリームモード KEK 暗号が kek_unwrap_key() でヒープ領域外読み取りを発生させる可能性があります。影響のサマリー: 入力バッファがメモリページの境界で終了し、次のページがマッピング解除されている場合、ヒープバッファのオーバーリードによりクラッシュが引き起こされ、アプリケーションのサービス拒否につながる可能性があります。オーバーリードされたバイトが攻撃者に漏洩されることはないため、情報漏洩はありません。キーアンラップ関数は、RFC で指定されているようにチェックバイトテストを実行し、メッセージからのラップされたキーの長さに基づくヒープ割り当てから 7 バイトを読み取ります。ラッピング暗号のブロック長に基づく最小長チェックがあります。ただし、暗号は攻撃者の PWRI keyEncryptionAlgorithm で運ばれる OID から選択され、暗号がブロック暗号である必要はありません。攻撃者がストリームモード暗号を選択すると、ガードは無効になり、ラップ解除されたキーを含む割り当てられたバッファが小さすぎて RFC で指定されたチェックバイトに収まらない可能性があり、バッファオーバーリードが発生する可能性があります。信頼できない CMS データに対して、CMS_decrypt() または CMS_decrypt_set1_password() (同等の openssl cms
    -decrypt -pwri_password ...) を呼び出すアプリケーションは、この問題に対して脆弱です。パスワードの知識は必要ありません。オーバーリードは、認証が成功する前に、ラップ解除の試行中に発生します。オーバーリードは数バイトに制限され、出力に書き込まれないため、情報漏洩は発生しません。
    クラッシュを発生させるには、マッピングされていないメモリの境界に対する割り当てが必要ですが、通常のアロケーターでは起こらないことになります。FIPS モジュールは、この問題の影響を受けません。(CVE-2026-9076)

  - 問題のサマリー: ASN1_mbstring_ncopy() で Unicode 出力の宛先バッファをサイジングする際の符号付き整数オーバーフローが、ヒープバッファオーバーフローにつながる可能性があります。影響の概要: ヒープバッファオーバーフローにより、クラッシュや攻撃者による任意コード実行、またはその他の未定義の動作が発生する可能性があります。ASN1_mbstring_copy() と ASN1_mbstring_ncopy() では、BMPSTRING (UTF-16) と UNIVERSALSTRING (UTF-32) の入力文字カウントを左シフトし、UTF8STRING の文字ごとのバイト数を合計することによって、Unicode 出力のデスティネーションサイズは符号付き整数で計算されます。入力が約 2^30 文字に達すると、計算がオーバーフローします。最悪の場合 (2^30 文字の UNIVERSALSTRING)、サイズがゼロに折り返されると、OPENSSL_malloc(1) が呼び出され、後続の文字コピーが 1 バイトの割り当てを超えて数ギガバイトを書き込みます。X.509 証明書の処理は ASN1_STRING_set_by_NID() を経由しますが、この関数の DIRSTRING_TYPE マスクは UNIVERSALSTRING を除外しており、NID ごとのサイズ制限によって入力長が制限されています。OpenSSL のネットワークプロトコルや証明書処理パスにおいて、このオーバーフローが発生することはありません。このバグを発生させるには、ASN1_mbstring_copy() や ASN1_mbstring_ncopy() を直接呼び出すか、ASN1_STRING_TABLE_add() を介してカスタム文字列タイプを登録するアプリケーションが必要であり、攻撃者が制御する半ギガバイト以上の入力データが与えられる必要があります。以上の理由により、この問題は重要度低と評価されました。4.0、3.6、3.5、3.4、3.0 の FIPS モジュールは、この問題による影響を受けません。これは、影響を受けるコードが OpenSSL FIPS モジュール境界の外部にあるためです。(CVE-2026-7383)

  - 問題のサマリー: AES-SIV (RFC 5297) および AES-GCM-SIV (RFC 8452) の実装は、空の暗号文を持つ AAD (追加認証データ) の認証を誤って処理するため、このようなメッセージが偽造される可能性があります。影響の概要: 攻撃者は、これらの暗号を使用して、任意の AAD で空のメッセージを被害者のアプリケーションに偽造する可能性があります。AES-SIV (RFC 5297) と AES-GCM-SIV (RFC 8452) はノンスの誤用に強い AEAD モードです。キー、ノンス、オプションの AAD (認証されるが暗号化されていないバイト)、平文を受け入れ、暗号文と 16 バイトのタグを生成します。復号化では、「EVP_DecryptFinal_ex()」は、タグが正常に検証された場合にのみ成功を返すと記載されています。これらの暗号の OpenSSL のプロバイダー実装では、期待されるタグは、復号化関数が空でないデータで呼び出された場合にのみ計算されます。呼び出し元が AAD を指定した後、受信した暗号文の長さがゼロの場合などに起こり得るように、暗号文の更新を呼び出さずに「EVP_DecryptFinal_ex()」を呼び出した場合、タグは再計算されず、引き続き全桁ゼロの値のままとなります。AES-GCM-SIV を使用する場合、任意の AAD、空の暗号文、すべてゼロのタグを送信する攻撃者は、自身が知らない任意の鍵に対して、一度の試行で認証を通過できてしまいます。AES-SIV を使用する場合、攻撃をマウントするために、アプリケーションは、キーをリセットせずに復号化コンテキストを再利用する必要があります。AES-SIV は、OpenSSL 3.0 以降に実装されています。AES-GCM-SIV は、OpenSSL 3.2 以降に実装されています。OpenSSL 自体で実装されているプロトコル (TLS/CMS/PKCS7/HPKE/QUIC) は、AES-GCM-SIV または AES-SIV のいずれもサポートしていません。攻撃を仕掛けるには、アプリケーションが独自のプロトコルを実装し、EVP インターフェースを使用する必要があります。また、暗号文が空のメッセージが届いたときに、暗号文の更新をスキップする必要があります。4.0、3.6、3.5、3.4、3.0 の FIPS モジュールは、これらのアルゴリズムが FIPS 認証を受けておらず、影響を受けるコードが OpenSSL FIPS モジュール境界の外部にあるため、この問題による影響を受けません。(CVE-2026-45446)

  - 問題のサマリー: アプリケーションがパブリック EVP_Cipher() ワンショットインターフェースから AES-OCB コンテキストを駆動するとき、アプリケーション提供の初期化ベクトル (IV) はサイレントに破棄されます。影響の概要:
    同じキーで暗号化されたすべてのメッセージは、呼び出し元から供給された IV に関係なく、同じ有効なノンスを使用するため、(キー、ノンス) 再利用と機密性の喪失が発生します。認証タグの計算に同じコードパスを使用する場合、タグは (キー、IV) のペアにのみ依存し、平文や暗号文には依存しません。これにより、キャプチャされた単一のメッセージから任意の暗号文を普遍的に偽造することが可能です。OpenSSL には暗号化を駆動する方法として、ドキュメントに記載されているストリーミングインターフェース (EVP_CipherUpdate / EVP_CipherFinal_ex) と、より低レベルのワンショット方式である EVP_Cipher() の 2 つが用意されています。ただし、そのドキュメントでは、EVP_CipherUpdate() および EVP_CipherFinal_ex() の代わりに、アプリケーションによる使用を明示的に推奨していません。OCB プロバイダーのストリーミングハンドラーは、データを処理する前に、アプリケーション指定の IV を OCB コンテキストにフラッシュします。ワンショットハンドラーはそうではありませんでした。したがって、AES-OCB コンテキストの EVP_Cipher() へのすべての呼び出しは、呼び出し側の IV に関係なく、暗号の初期化によって残されたすべてゼロのキー派生のオフセット状態で実行されました。後で EVP_EncryptFinal_ex() を使用して認証タグを取得した場合、その時点で遅延 IV セットアップが実行され、平文に蓄積されているはずの実行チェックサムがクリアされます。結果のタグは (キー、IV) のみの関数であり、同じ (キー、IV) ペアの下で生成された暗号文に対して検証します。OpenSSL SSL/TLS 実装は影響を受けません。AES-OCB は TLS 暗号化パッケージではなく、libssl はいかなる場合でも EVP_Cipher() を呼び出しません。文書化されているストリーミング AEAD API (EVP_CipherUpdate / EVP_CipherFinal_ex) を通じて AES-OCB を駆動するアプリケーションは影響を受けません。AES-OCB 暗号と EVP_Cipher() ワンショット API を組み合わせたアプリケーションのみが脆弱です。4.0、3.6、3.5、3.4、3.0 の FIPS モジュールは、この問題による影響を受けません。これは、AES-OCB が OpenSSL FIPS モジュール境界の外部にあるためです。(CVE-2026-45445)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている OpenSSL は、4.0.1 より前のバージョンです。したがって、4.0.1 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 問題のサマリー: 特別に細工された PKCS#7 または S/MIME 署名付きメッセージにより、PKCS#7 署名認証中に use-after-free が発生する可能性があります。影響のサマリー: メモリ解放後使用 (use-after-free) により、プロセスのクラッシュ、ヒープの破損、またはリモートでのコード実行が引き起こされる可能性があります。PKCS#7 または S/MIME 署名付きメッセージを処理するときに、SignedData digestAlgorithms フィールドが空の ASN.1 SET として存在すると、OpenSSL が PKCS7_verify() 中に呼び出し元所有の BIO を不適切に解放する可能性があります。呼び出し元のアプリケーションが BIO をその後使用すると、メモリ解放後使用 (Use After Free) 状態になります。一般的なケースでは、これはアプリケーションが最初に PKCS7_verify() に渡された BIO で BIO_free() を後に呼び出すときに発生します。アロケーターの動作やアプリケーション固有の BIO 使用パターンによっては、これによりクラッシュやその他のメモリ破損が発生する可能性があります。一部のアプリケーションコンテキストでは、これがリモートコードの実行のために悪用される可能性があります。OpenSSL PKCS#7 API を使用して PKCS#7 または S/MIME 署名のあるメッセージを処理するアプリケーションが影響を受ける可能性があります。この処理に CMS API を使用するアプリケーションは影響を受けません。4.0、3.6、3.5、3.4、3.0 の FIPS モジュールは、この問題による影響を受けません。これは、影響を受けるコードが OpenSSL FIPS モジュール境界の外部にあるためです。(CVE-2026-45447)

  - 問題のサマリー: CMS パスワードベースの復号化 (RFC 3211/PWRI キーアンラップ) が攻撃者指定の CMS データを処理するとき、攻撃者が選択したストリームモード KEK 暗号が kek_unwrap_key() でヒープ領域外読み取りを発生させる可能性があります。影響のサマリー: 入力バッファがメモリページの境界で終了し、次のページがマッピング解除されている場合、ヒープバッファのオーバーリードによりクラッシュが引き起こされ、アプリケーションのサービス拒否につながる可能性があります。オーバーリードされたバイトが攻撃者に漏洩されることはないため、情報漏洩はありません。キーアンラップ関数は、RFC で指定されているようにチェックバイトテストを実行し、メッセージからのラップされたキーの長さに基づくヒープ割り当てから 7 バイトを読み取ります。ラッピング暗号のブロック長に基づく最小長チェックがあります。ただし、暗号は攻撃者の PWRI keyEncryptionAlgorithm で運ばれる OID から選択され、暗号がブロック暗号である必要はありません。攻撃者がストリームモード暗号を選択すると、ガードは無効になり、ラップ解除されたキーを含む割り当てられたバッファが小さすぎて RFC で指定されたチェックバイトに収まらない可能性があり、バッファオーバーリードが発生する可能性があります。信頼できない CMS データに対して、CMS_decrypt() または CMS_decrypt_set1_password() (同等の openssl cms
    -decrypt -pwri_password ...) を呼び出すアプリケーションは、この問題に対して脆弱です。パスワードの知識は必要ありません。オーバーリードは、認証が成功する前に、ラップ解除の試行中に発生します。オーバーリードは数バイトに制限され、出力に書き込まれないため、情報漏洩は発生しません。
    クラッシュを発生させるには、マッピングされていないメモリの境界に対する割り当てが必要ですが、通常のアロケーターでは起こらないことになります。FIPS モジュールは、この問題の影響を受けません。(CVE-2026-9076)

  - 問題のサマリー: ASN1_mbstring_ncopy() で Unicode 出力の宛先バッファをサイジングする際の符号付き整数オーバーフローが、ヒープバッファオーバーフローにつながる可能性があります。影響の概要: ヒープバッファオーバーフローにより、クラッシュや攻撃者による任意コード実行、またはその他の未定義の動作が発生する可能性があります。ASN1_mbstring_copy() と ASN1_mbstring_ncopy() では、BMPSTRING (UTF-16) と UNIVERSALSTRING (UTF-32) の入力文字カウントを左シフトし、UTF8STRING の文字ごとのバイト数を合計することによって、Unicode 出力のデスティネーションサイズは符号付き整数で計算されます。入力が約 2^30 文字に達すると、計算がオーバーフローします。最悪の場合 (2^30 文字の UNIVERSALSTRING)、サイズがゼロに折り返されると、OPENSSL_malloc(1) が呼び出され、後続の文字コピーが 1 バイトの割り当てを超えて数ギガバイトを書き込みます。X.509 証明書の処理は ASN1_STRING_set_by_NID() を経由しますが、この関数の DIRSTRING_TYPE マスクは UNIVERSALSTRING を除外しており、NID ごとのサイズ制限によって入力長が制限されています。OpenSSL のネットワークプロトコルや証明書処理パスにおいて、このオーバーフローが発生することはありません。このバグを発生させるには、ASN1_mbstring_copy() や ASN1_mbstring_ncopy() を直接呼び出すか、ASN1_STRING_TABLE_add() を介してカスタム文字列タイプを登録するアプリケーションが必要であり、攻撃者が制御する半ギガバイト以上の入力データが与えられる必要があります。以上の理由により、この問題は重要度低と評価されました。4.0、3.6、3.5、3.4、3.0 の FIPS モジュールは、この問題による影響を受けません。これは、影響を受けるコードが OpenSSL FIPS モジュール境界の外部にあるためです。(CVE-2026-7383)

  - 問題のサマリー: AES-SIV (RFC 5297) および AES-GCM-SIV (RFC 8452) の実装は、空の暗号文を持つ AAD (追加認証データ) の認証を誤って処理するため、このようなメッセージが偽造される可能性があります。影響の概要: 攻撃者は、これらの暗号を使用して、任意の AAD で空のメッセージを被害者のアプリケーションに偽造する可能性があります。AES-SIV (RFC 5297) と AES-GCM-SIV (RFC 8452) はノンスの誤用に強い AEAD モードです。キー、ノンス、オプションの AAD (認証されるが暗号化されていないバイト)、平文を受け入れ、暗号文と 16 バイトのタグを生成します。復号化では、「EVP_DecryptFinal_ex()」は、タグが正常に検証された場合にのみ成功を返すと記載されています。これらの暗号の OpenSSL のプロバイダー実装では、期待されるタグは、復号化関数が空でないデータで呼び出された場合にのみ計算されます。呼び出し元が AAD を指定した後、受信した暗号文の長さがゼロの場合などに起こり得るように、暗号文の更新を呼び出さずに「EVP_DecryptFinal_ex()」を呼び出した場合、タグは再計算されず、引き続き全桁ゼロの値のままとなります。AES-GCM-SIV を使用する場合、任意の AAD、空の暗号文、すべてゼロのタグを送信する攻撃者は、自身が知らない任意の鍵に対して、一度の試行で認証を通過できてしまいます。AES-SIV を使用する場合、攻撃をマウントするために、アプリケーションは、キーをリセットせずに復号化コンテキストを再利用する必要があります。AES-SIV は、OpenSSL 3.0 以降に実装されています。AES-GCM-SIV は、OpenSSL 3.2 以降に実装されています。OpenSSL 自体で実装されているプロトコル (TLS/CMS/PKCS7/HPKE/QUIC) は、AES-GCM-SIV または AES-SIV のいずれもサポートしていません。攻撃を仕掛けるには、アプリケーションが独自のプロトコルを実装し、EVP インターフェースを使用する必要があります。また、暗号文が空のメッセージが届いたときに、暗号文の更新をスキップする必要があります。4.0、3.6、3.5、3.4、3.0 の FIPS モジュールは、これらのアルゴリズムが FIPS 認証を受けておらず、影響を受けるコードが OpenSSL FIPS モジュール境界の外部にあるため、この問題による影響を受けません。(CVE-2026-45446)

  - 問題のサマリー: アプリケーションがパブリック EVP_Cipher() ワンショットインターフェースから AES-OCB コンテキストを駆動するとき、アプリケーション提供の初期化ベクトル (IV) はサイレントに破棄されます。影響の概要:
    同じキーで暗号化されたすべてのメッセージは、呼び出し元から供給された IV に関係なく、同じ有効なノンスを使用するため、(キー、ノンス) 再利用と機密性の喪失が発生します。認証タグの計算に同じコードパスを使用する場合、タグは (キー、IV) のペアにのみ依存し、平文や暗号文には依存しません。これにより、キャプチャされた単一のメッセージから任意の暗号文を普遍的に偽造することが可能です。OpenSSL には暗号化を駆動する方法として、ドキュメントに記載されているストリーミングインターフェース (EVP_CipherUpdate / EVP_CipherFinal_ex) と、より低レベルのワンショット方式である EVP_Cipher() の 2 つが用意されています。ただし、そのドキュメントでは、EVP_CipherUpdate() および EVP_CipherFinal_ex() の代わりに、アプリケーションによる使用を明示的に推奨していません。OCB プロバイダーのストリーミングハンドラーは、データを処理する前に、アプリケーション指定の IV を OCB コンテキストにフラッシュします。ワンショットハンドラーはそうではありませんでした。したがって、AES-OCB コンテキストの EVP_Cipher() へのすべての呼び出しは、呼び出し側の IV に関係なく、暗号の初期化によって残されたすべてゼロのキー派生のオフセット状態で実行されました。後で EVP_EncryptFinal_ex() を使用して認証タグを取得した場合、その時点で遅延 IV セットアップが実行され、平文に蓄積されているはずの実行チェックサムがクリアされます。結果のタグは (キー、IV) のみの関数であり、同じ (キー、IV) ペアの下で生成された暗号文に対して検証します。OpenSSL SSL/TLS 実装は影響を受けません。AES-OCB は TLS 暗号化パッケージではなく、libssl はいかなる場合でも EVP_Cipher() を呼び出しません。文書化されているストリーミング AEAD API (EVP_CipherUpdate / EVP_CipherFinal_ex) を通じて AES-OCB を駆動するアプリケーションは影響を受けません。AES-OCB 暗号と EVP_Cipher() ワンショット API を組み合わせたアプリケーションのみが脆弱です。4.0、3.6、3.5、3.4、3.0 の FIPS モジュールは、この問題による影響を受けません。これは、AES-OCB が OpenSSL FIPS モジュール境界の外部にあるためです。(CVE-2026-45445)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、259b562f-64ab-11f1-8607-8447094a420f のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    OpenSSL プロジェクトによる報告
    OpenSSL ライブラリの 18 の脆弱性。
                最上位の分類 (重要度高)。

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストで実行されている Tenable Identity Exposure は、3.93.5 より前のバージョンです。したがって、アドバイザリ TNS-2026-16 によると、複数の脆弱性の影響を受けます。

  - Tenable Identity Exposure の /w/api/* に複数の認証されていない API エンドポイントが含まれており、平文の LDAP 認証情報、SAML 設定、ユーザーアカウント、ディレクトリ設定などの機密性の高いアプリケーション構成データを、認証されていないリモートの攻撃者に漏洩します。影響を受ける応答は、Cache-Control: public ヘッダー付きで提供され、Vary: Cookie は使用されません。これにより、認証が適用された後でも、リバースプロキシおよび CDN が機密データをキャッシュし、認証されていないユーザーに提供する可能性があります。(CVE-2026-13007)

  - ASP.NET Core の http リクエスト ('http request/response smuggling') の解釈が一貫していないため、認証された攻撃者がネットワークを介してセキュリティ機能をバイパスする可能性があります。(CVE-2025-55315)

  - 過度に大きな OCTET STRING 値を 16 進数文字列に変換すると、32 ビットプラットフォームにおいてヒープバッファオーバーフローが発生する可能性があります。ヒープバッファオーバーフローにより、クラッシュや攻撃者による任意コード実行、またはその他の未定義の動作が発生する可能性があります。(CVE-2026-31789)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of OpenSSL installed on the remote host is prior to 3.6.3. It is, therefore, affected by multiple vulnerabilities as referenced in the 3.6.3 advisory.

  - Issue summary: A specially crafted PKCS#7 or S/MIME signed message could trigger a use-after-free during     PKCS#7 signature verification. Impact summary: A use-after-free may result in process crashes, heap     corruption, or potentially remote code execution. When processing a PKCS#7 or S/MIME signed message, if     the SignedData digestAlgorithms field is present as an empty ASN.1 SET, OpenSSL may incorrectly free a     caller-owned BIO during PKCS7_verify(). A subsequent use of the BIO by the calling application results in     a use-after-free condition. In the common case this occurs when the application later calls BIO_free() on     the BIO originally passed to PKCS7_verify(). Depending on allocator behavior and application-specific BIO     usage patterns, this may result in a crash or other memory corruption. In some application contexts this     may potentially be exploitable for remote code execution. Applications that process PKCS#7 or S/MIME     signed messages using OpenSSL PKCS#7 APIs may be affected. Applications using the CMS APIs for this     processing are not affected. The FIPS modules in 4.0, 3.6, 3.5, 3.4, and 3.0 are not affected by this     issue, as the affected code is outside the OpenSSL FIPS module boundary. (CVE-2026-45447)

  - Issue summary: When CMS password-based decryption (RFC 3211 / PWRI key unwrap) processes attacker-supplied     CMS data, an attacker-chosen stream-mode KEK cipher can trigger a heap out-of-bounds read in     kek_unwrap_key(). Impact summary: A heap buffer over-read may trigger a crash which leads to Denial of     Service for an application if the input buffer ends at a memory page boundary and the following page is     unmapped. There is no information disclosure as the over-read bytes are not revealed to the attacker. The     key unwrapping function performs a check-byte test as specified in the RFC that reads 7 bytes from a heap     allocation that is based on the wrapped key length from the message. There is a minimum length check based     on the block length of the wrapping cipher. However the cipher is selected from an OID carried in the     attacker's PWRI keyEncryptionAlgorithm with no requirement that the cipher be a block cipher. When an     attacker selects a stream-mode cipher the guard will be ineffective and the allocated buffer containing     the unwrapped key can be too small to fit the check-bytes specified in the RFC and a buffer over-read can     happen. Applications calling CMS_decrypt() or CMS_decrypt_set1_password() (equivalently openssl cms
    -decrypt -pwri_password ...) on untrusted CMS data are vulnerable to this issue. No password knowledge is     required: the over-read happens during the unwrap attempt before any authentication succeeds. The over-     read is limited to a few bytes and is not written to output, so there is no information disclosure.
    Triggering a crash requires the allocation to border unmapped memory, which is unlikely with the normal     allocator. The FIPS modules are not affected by this issue. (CVE-2026-9076)

  - Issue summary: A signed integer overflow when sizing the destination buffer for Unicode output in     ASN1_mbstring_ncopy() can lead to a heap buffer overflow. Impact summary: A heap buffer overflow may lead     to a crash or possibly attacker controlled code execution or other undefined behaviour. In     ASN1_mbstring_copy() and ASN1_mbstring_ncopy() the destination size for Unicode output is computed in a     signed int: by left shift of the input character count for BMPSTRING (UTF-16) and UNIVERSALSTRING     (UTF-32), and by summing per-character byte counts for UTF8STRING. The calculation overflows when the     input reaches around 2^30 characters. In the worst case (UNIVERSALSTRING at 2^30 characters) the size     wraps to zero, OPENSSL_malloc(1) is called, and the subsequent character copy writes several gigabytes     past the one-byte allocation. X.509 certificate processing routes through ASN1_STRING_set_by_NID(), whose     DIRSTRING_TYPE mask excludes UNIVERSALSTRING and whose per-NID size limits cap the input length; no     network protocol or certificate-handling path in OpenSSL exercises the overflow. Triggering the bug     requires an application that calls ASN1_mbstring_copy() or ASN1_mbstring_ncopy() directly, or registers a     custom string type via ASN1_STRING_TABLE_add(), with attacker-controlled input on the order of half a     gigabyte or more. For these reasons this issue was assigned Low severity. The FIPS modules in 4.0, 3.6,     3.5, 3.4 and 3.0 are not affected by this issue, as the affected code is outside the OpenSSL FIPS module     boundary. (CVE-2026-7383)

  - Issue summary: The implementations of AES-SIV (RFC 5297) and AES-GCM-SIV (RFC 8452) mishandle the     authentication of AAD (Additional Authenticated Data) with an empty ciphertext allowing a forgery of such     messages. Impact summary: An attacker can forge empty messages with arbitrary AAD to the victim's     application using these ciphers. AES-SIV (RFC 5297) and AES-GCM-SIV (RFC 8452) are nonce-misuse-resistant     AEAD modes: they accept a key, nonce, optional AAD (bytes that are authenticated but not encrypted), and     plaintext, and produces ciphertext plus a 16-byte tag. On decrypt, `EVP_DecryptFinal_ex()` is documented     to return success only if the tag is verified succesfully. In OpenSSL's provider implementation of these     ciphers, the expected tag is computed only when decryption function is invoked with non-empty data. If the     caller supplies AAD and then calls `EVP_DecryptFinal_ex()` without invocation of the ciphertext update,     which can happen when the received ciphertext length is zero, the tag is never recalculated and still     holds its all-zeros value. When AES-GCM-SIV is used, an attacker who sends arbitrary AAD, empty     ciphertext, and all-zeros tag passes authentication under any key they do not know, single-shot. When AES-     SIV is used, for mounting the attack it's necessary for the application to reuse the decryption context     without resetting the key. AES-SIV is implemented since OpenSSL 3.0. AES-GCM-SIV is implemented since     OpenSSL 3.2. No protocols implemented in OpenSSL itself (TLS/CMS/PKCS7/HPKE/QUIC) support either AES-GCM-     SIV or AES-SIV. To mount an attack, the applications must implement their own protocol and use the EVP     interface. Also they must skip the ciphertext update when a message with an empty ciphertext arrives. The     FIPS modules in 4.0, 3.6, 3.5, 3.4, and 3.0 are not affected by this issue, as these algorithms are not     FIPS approved and the affected code is outside the OpenSSL FIPS module boundary. (CVE-2026-45446)

  - Issue summary: When an application drives an AES-OCB context through the public EVP_Cipher() one-shot     interface, the application-supplied initialisation vector (IV) is silently discarded. Impact summary:
    Every message encrypted under the same key uses the same effective nonce regardless of the IV supplied by     the caller, resulting in (key, nonce) reuse and loss of confidentiality. If the same code path is used to     compute the authentication tag, the tag depends only on the (key, IV) pair and not on the plaintext or     ciphertext, allowing universal forgery of arbitrary ciphertext from a single captured message. OpenSSL     provides two ways to drive a cipher: the documented streaming interface (EVP_CipherUpdate /     EVP_CipherFinal_ex) and a lower-level one-shot, EVP_Cipher(), whose documentation explicitly recommends     against use by applications in favour of EVP_CipherUpdate() and EVP_CipherFinal_ex(). The OCB provider's     streaming handler flushes the application-supplied IV into the OCB context before processing data; the     one-shot handler did not. Every call to EVP_Cipher() on an AES-OCB context therefore ran with the all-zero     key-derived offset state left by cipher initialisation, regardless of the caller's IV. If     EVP_EncryptFinal_ex() is subsequently used to obtain the authentication tag, the deferred IV setup runs at     that point and clears the running checksum that should have been accumulated over the plaintext. The     resulting tag is a function of (key, IV) only and verifies against any ciphertext produced under the same     (key, IV) pair. The OpenSSL SSL/TLS implementation is not affected: AES-OCB is not a TLS cipher suite, and     libssl does not call EVP_Cipher() in any case. Applications that drive AES-OCB through the documented     streaming AEAD API (EVP_CipherUpdate / EVP_CipherFinal_ex) are not affected. Only applications that     combine the AES-OCB cipher with the EVP_Cipher() one-shot API are vulnerable. The FIPS modules in 4.0,     3.6, 3.5, 3.4 and 3.0 are not affected by this issue, as AES-OCB is outside the OpenSSL FIPS module     boundary. (CVE-2026-45445)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of OpenSSL installed on the remote host is prior to 4.0.1. It is, therefore, affected by multiple vulnerabilities as referenced in the 4.0.1 advisory.

  - Issue summary: A specially crafted PKCS#7 or S/MIME signed message could trigger a use-after-free during     PKCS#7 signature verification. Impact summary: A use-after-free may result in process crashes, heap     corruption, or potentially remote code execution. When processing a PKCS#7 or S/MIME signed message, if     the SignedData digestAlgorithms field is present as an empty ASN.1 SET, OpenSSL may incorrectly free a     caller-owned BIO during PKCS7_verify(). A subsequent use of the BIO by the calling application results in     a use-after-free condition. In the common case this occurs when the application later calls BIO_free() on     the BIO originally passed to PKCS7_verify(). Depending on allocator behavior and application-specific BIO     usage patterns, this may result in a crash or other memory corruption. In some application contexts this     may potentially be exploitable for remote code execution. Applications that process PKCS#7 or S/MIME     signed messages using OpenSSL PKCS#7 APIs may be affected. Applications using the CMS APIs for this     processing are not affected. The FIPS modules in 4.0, 3.6, 3.5, 3.4, and 3.0 are not affected by this     issue, as the affected code is outside the OpenSSL FIPS module boundary. (CVE-2026-45447)

  - Issue summary: When CMS password-based decryption (RFC 3211 / PWRI key unwrap) processes attacker-supplied     CMS data, an attacker-chosen stream-mode KEK cipher can trigger a heap out-of-bounds read in     kek_unwrap_key(). Impact summary: A heap buffer over-read may trigger a crash which leads to Denial of     Service for an application if the input buffer ends at a memory page boundary and the following page is     unmapped. There is no information disclosure as the over-read bytes are not revealed to the attacker. The     key unwrapping function performs a check-byte test as specified in the RFC that reads 7 bytes from a heap     allocation that is based on the wrapped key length from the message. There is a minimum length check based     on the block length of the wrapping cipher. However the cipher is selected from an OID carried in the     attacker's PWRI keyEncryptionAlgorithm with no requirement that the cipher be a block cipher. When an     attacker selects a stream-mode cipher the guard will be ineffective and the allocated buffer containing     the unwrapped key can be too small to fit the check-bytes specified in the RFC and a buffer over-read can     happen. Applications calling CMS_decrypt() or CMS_decrypt_set1_password() (equivalently openssl cms
    -decrypt -pwri_password ...) on untrusted CMS data are vulnerable to this issue. No password knowledge is     required: the over-read happens during the unwrap attempt before any authentication succeeds. The over-     read is limited to a few bytes and is not written to output, so there is no information disclosure.
    Triggering a crash requires the allocation to border unmapped memory, which is unlikely with the normal     allocator. The FIPS modules are not affected by this issue. (CVE-2026-9076)

  - Issue summary: A signed integer overflow when sizing the destination buffer for Unicode output in     ASN1_mbstring_ncopy() can lead to a heap buffer overflow. Impact summary: A heap buffer overflow may lead     to a crash or possibly attacker controlled code execution or other undefined behaviour. In     ASN1_mbstring_copy() and ASN1_mbstring_ncopy() the destination size for Unicode output is computed in a     signed int: by left shift of the input character count for BMPSTRING (UTF-16) and UNIVERSALSTRING     (UTF-32), and by summing per-character byte counts for UTF8STRING. The calculation overflows when the     input reaches around 2^30 characters. In the worst case (UNIVERSALSTRING at 2^30 characters) the size     wraps to zero, OPENSSL_malloc(1) is called, and the subsequent character copy writes several gigabytes     past the one-byte allocation. X.509 certificate processing routes through ASN1_STRING_set_by_NID(), whose     DIRSTRING_TYPE mask excludes UNIVERSALSTRING and whose per-NID size limits cap the input length; no     network protocol or certificate-handling path in OpenSSL exercises the overflow. Triggering the bug     requires an application that calls ASN1_mbstring_copy() or ASN1_mbstring_ncopy() directly, or registers a     custom string type via ASN1_STRING_TABLE_add(), with attacker-controlled input on the order of half a     gigabyte or more. For these reasons this issue was assigned Low severity. The FIPS modules in 4.0, 3.6,     3.5, 3.4 and 3.0 are not affected by this issue, as the affected code is outside the OpenSSL FIPS module     boundary. (CVE-2026-7383)

  - Issue summary: The implementations of AES-SIV (RFC 5297) and AES-GCM-SIV (RFC 8452) mishandle the     authentication of AAD (Additional Authenticated Data) with an empty ciphertext allowing a forgery of such     messages. Impact summary: An attacker can forge empty messages with arbitrary AAD to the victim's     application using these ciphers. AES-SIV (RFC 5297) and AES-GCM-SIV (RFC 8452) are nonce-misuse-resistant     AEAD modes: they accept a key, nonce, optional AAD (bytes that are authenticated but not encrypted), and     plaintext, and produces ciphertext plus a 16-byte tag. On decrypt, `EVP_DecryptFinal_ex()` is documented     to return success only if the tag is verified succesfully. In OpenSSL's provider implementation of these     ciphers, the expected tag is computed only when decryption function is invoked with non-empty data. If the     caller supplies AAD and then calls `EVP_DecryptFinal_ex()` without invocation of the ciphertext update,     which can happen when the received ciphertext length is zero, the tag is never recalculated and still     holds its all-zeros value. When AES-GCM-SIV is used, an attacker who sends arbitrary AAD, empty     ciphertext, and all-zeros tag passes authentication under any key they do not know, single-shot. When AES-     SIV is used, for mounting the attack it's necessary for the application to reuse the decryption context     without resetting the key. AES-SIV is implemented since OpenSSL 3.0. AES-GCM-SIV is implemented since     OpenSSL 3.2. No protocols implemented in OpenSSL itself (TLS/CMS/PKCS7/HPKE/QUIC) support either AES-GCM-     SIV or AES-SIV. To mount an attack, the applications must implement their own protocol and use the EVP     interface. Also they must skip the ciphertext update when a message with an empty ciphertext arrives. The     FIPS modules in 4.0, 3.6, 3.5, 3.4, and 3.0 are not affected by this issue, as these algorithms are not     FIPS approved and the affected code is outside the OpenSSL FIPS module boundary. (CVE-2026-45446)

  - Issue summary: When an application drives an AES-OCB context through the public EVP_Cipher() one-shot     interface, the application-supplied initialisation vector (IV) is silently discarded. Impact summary:
    Every message encrypted under the same key uses the same effective nonce regardless of the IV supplied by     the caller, resulting in (key, nonce) reuse and loss of confidentiality. If the same code path is used to     compute the authentication tag, the tag depends only on the (key, IV) pair and not on the plaintext or     ciphertext, allowing universal forgery of arbitrary ciphertext from a single captured message. OpenSSL     provides two ways to drive a cipher: the documented streaming interface (EVP_CipherUpdate /     EVP_CipherFinal_ex) and a lower-level one-shot, EVP_Cipher(), whose documentation explicitly recommends     against use by applications in favour of EVP_CipherUpdate() and EVP_CipherFinal_ex(). The OCB provider's     streaming handler flushes the application-supplied IV into the OCB context before processing data; the     one-shot handler did not. Every call to EVP_Cipher() on an AES-OCB context therefore ran with the all-zero     key-derived offset state left by cipher initialisation, regardless of the caller's IV. If     EVP_EncryptFinal_ex() is subsequently used to obtain the authentication tag, the deferred IV setup runs at     that point and clears the running checksum that should have been accumulated over the plaintext. The     resulting tag is a function of (key, IV) only and verifies against any ciphertext produced under the same     (key, IV) pair. The OpenSSL SSL/TLS implementation is not affected: AES-OCB is not a TLS cipher suite, and     libssl does not call EVP_Cipher() in any case. Applications that drive AES-OCB through the documented     streaming AEAD API (EVP_CipherUpdate / EVP_CipherFinal_ex) are not affected. Only applications that     combine the AES-OCB cipher with the EVP_Cipher() one-shot API are vulnerable. The FIPS modules in 4.0,     3.6, 3.5, 3.4 and 3.0 are not affected by this issue, as AES-OCB is outside the OpenSSL FIPS module     boundary. (CVE-2026-45445)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the 259b562f-64ab-11f1-8607-8447094a420f advisory.

    The OpenSSL project reports:
    Eighteen vulnerabilities in OpenSSL library.
                Highest classification High.

Tenable has extracted the preceding description block directly from the FreeBSD security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of Tenable Identity Exposure running on the remote host is prior to 3.93.5. It is, therefore, affected by multiple vulnerabilities according to advisory TNS-2026-16:

  - Tenable Identity Exposure contains multiple unauthenticated API endpoints under /w/api/* that expose     sensitive application configuration data including cleartext LDAP credentials, SAML configuration, user     accounts, and directory settings to unauthenticated remote attackers. Affected responses are served with     Cache-Control: public headers and without Vary: Cookie, allowing reverse proxies and CDNs to cache and     serve sensitive data to unauthenticated users even after authentication is applied. (CVE-2026-13007)

  - Inconsistent interpretation of http requests ('http request/response smuggling') in ASP.NET Core allows     an authorized attacker to bypass a security feature over a network. (CVE-2025-55315)

  - Converting an excessively large OCTET STRING value to a hexadecimal string leads to a heap buffer     overflow on 32 bit platforms. A heap buffer overflow may lead to a crash or possibly an attacker     controlled code execution or other undefined behavior. (CVE-2026-31789)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Issue summary: A malicious server can exploit TLS OCSP stapling by delivering a crafted response through     the status_request extension, triggering a double-free in the client's certificate verification path.
    Impact summary: Successful exploitation allows an attacker to corrupt heap memory via a double-free,     potentially leading to a Denial of Service or possibly an attacker controlled code execution or other     undefined behavior. If OCSP stapling is enabled and the TLS client connects to a malicious server, a     crafted OCSP stapled response can trigger a double free in the TLS client when the stapled response is     checked. The OCSP stapling is not enabled by default. Reliable code execution through a double-free is     technically complex and highly environment-dependent but the Denial of Service impact is straightforward     to achieve, warranting Moderate severity. No FIPS modules are affected by this issue as the affected code     is outside the OpenSSL FIPS module boundary. (CVE-2026-35188)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
320349	Linux Distros 未修補弱點：CVE-2026-35188	Nessus	Misc.	2026/6/10	2026/6/16	medium
320135	OpenSSL 3.6.0 < 3.6.3 多个漏洞	Nessus	Web Servers	2026/6/9	2026/6/12	critical
320140	OpenSSL 4.0.0 < 4.0.1 多个漏洞	Nessus	Web Servers	2026/6/9	2026/6/12	critical
322483	Tenable Identity Exposure < 3.93.5 多个漏洞 (TNS-2026-16)	Nessus	Misc.	2026/6/24	2026/6/25	high
320349	Linux Distros 未修补的漏洞：CVE-2026-35188	Nessus	Misc.	2026/6/10	2026/6/16	medium
320135	OpenSSL 3.6.0 < 3.6.3 多個弱點	Nessus	Web Servers	2026/6/9	2026/6/12	critical
320140	OpenSSL 4.0.0 < 4.0.1 多個弱點	Nessus	Web Servers	2026/6/9	2026/6/12	critical
322483	Tenable Identity Exposure < 3.93.5 多個弱點 (TNS-2026-16)	Nessus	Misc.	2026/6/24	2026/6/25	high
320349	Linux Distros のパッチ未適用の脆弱性: CVE-2026-35188	Nessus	Misc.	2026/6/10	2026/6/16	medium
320135	OpenSSL 3.6.0< 3.6.3複数の脆弱性	Nessus	Web Servers	2026/6/9	2026/6/12	critical
320140	OpenSSL 4.0.0< 4.0.1複数の脆弱性	Nessus	Web Servers	2026/6/9	2026/6/12	critical
320568	FreeBSD: OpenSSL -- 複数の脆弱性 (259b562f-64ab-11f1-8607-8447094a420f)	Nessus	FreeBSD Local Security Checks	2026/6/11	2026/6/12	critical
322483	Tenable Identity Exposure < 3.93.5 の複数の脆弱性 (TNS-2026-16)	Nessus	Misc.	2026/6/24	2026/6/25	high
320135	OpenSSL 3.6.0 < 3.6.3 Multiple Vulnerabilities	Nessus	Web Servers	2026/6/9	2026/6/12	critical
320140	OpenSSL 4.0.0 < 4.0.1 Multiple Vulnerabilities	Nessus	Web Servers	2026/6/9	2026/6/12	critical
320568	FreeBSD : OpenSSL -- Multiple vulnerabilities (259b562f-64ab-11f1-8607-8447094a420f)	Nessus	FreeBSD Local Security Checks	2026/6/11	2026/6/12	critical
322483	Tenable Identity Exposure < 3.93.5 Multiple Vulnerabilities (TNS-2026-16)	Nessus	Misc.	2026/6/24	2026/6/25	high
320349	Linux Distros Unpatched Vulnerability : CVE-2026-35188	Nessus	Misc.	2026/6/10	2026/6/16	medium

检测

插件搜索

medium

critical

critical

high

medium

critical

critical

high

medium

critical

critical

critical

high

critical

critical

critical

high

medium