遠端主機上安裝的 OpenSSL 為 4.0.3 之前版本。因此，它會受到 4.0.3 公告中所提及的多個弱點影響。

  - 問題摘要：DTLS 重新傳輸邏輯無法正確處理中途暫停的交握訊息寫入。重新傳輸的訊息可以透過訊息緩衝區讀取，而且重新傳輸會覆寫暫停寫入正確繼續所需的內部狀態。影響摘要：重新傳輸的訊息可能會將堆積記憶體以純文字交握資料的形式洩漏給對等，或在讀取到達未對應的記憶體區域時導致當機和拒絕服務。CWE：CWE-125：越界讀取 說明：DTLS 交握訊息可以寫入多個片段中，如果基礎傳輸暫時無法接受更多資料，則寫入可以暫停訊息中間 （傳回 WANT_WRITE）。當這類寫入暫停時，DTLS 重新傳輸計時器可能會獨立觸發，並要求重新傳輸邏輯從其重新傳輸佇列重新傳送較早的已確認為已傳送訊息。
    重新傳輸邏輯會重複使用與仍在寫入之訊息相同的內部緩衝區及位置追蹤，而不會將位置重設回正在重新傳輸之訊息的開頭。
    結果，從暫停的寫入中斷的位置開始讀取重新傳輸，產生標記錯誤的訊息，其正文是另一則仍在傳輸中的較大訊息的剩餘位元組 - 當時從未打算傳送的內容，並且可能會超過分配的緩衝區的末端。另外，即使重新傳輸的位置正確，允許它在暫停另一個寫入時執行到完成，也會覆寫暫停寫入恢復所依賴的相同共用簿記。當應用程式稍後繼續暫停的寫入時 （透過後續的 SSL_read（）、SSL_write（）、SSL_accept（） 或 SSL_connect（） 呼叫），它會發現該簿記處於與訊息不一致的狀態，並在除錯組建中中止處理程序。此修正程式會在重新傳送之前，將重新傳輸的讀取位置重設為訊息的開頭，並在交握寫入仍暫停時完全略過重新傳輸，並延遲到下一個繼續它的呼叫。FIPS 影響：否 受影響的程式碼位於 FIPS 模組邊界之外。（CVE-2026-84782）

  - 問題摘要：當 OpenSSL 快取 X.509 延伸模組時，具有許多 nameRelativeToCRLIssuer CRL 發佈點的憑證會導致不成比例的堆積成長。影響摘要：從惡意對等接收特製的憑證可能會導致用戶端或索取用戶端憑證的伺服器造成嚴重的記憶體壓力，並可能發生拒絕服務。CWE：CWE-770：無限制或節流的資源配置說明：符合對等接受的憑證大小限制 （~100 KiB） 的憑證或一組憑證，可能會導致在正常 TLS 交握期間，在接收端配置數百 MiB 的常駐記憶體。如果多個並行連線導致類似較大的記憶體配置，這可能足以使用戶端或伺服器當機。此修正程式會將憑證中 CRL 發佈點延伸模組的處理延遲至 CRL 處理需要處理值的時間。這可避免在收到此類憑證時，長時間保留大型記憶體配置。FIPS 影響：否 受影響的程式碼位於 FIPS 模組邊界之外。（CVE-2026-35189）

  - 問題摘要：當 OpenSSL QUIC 伺服器設定為不執行位址驗證時，可能會被迫在其未經驗證的信用計算中多次計算傳入封包，從而導致違反 RFC 9000 未經驗證的連線放大限制，即接收資料量的 3 倍。影響摘要：能夠使用 OpenSSL QUIC 實作將封包詐騙至伺服器的遠端攻擊者可能會利用該伺服器來放大 DDoS 攻擊。CWE：CWE-440：預期行為違規說明：OpenSSL 的 QUIC 堆疊在作為伺服器運作時，會強制執行用戶端位址驗證 （RFC 9000，第 8 節），以確認對等位址未用於流量放大攻擊。如果在伺服器上停用此功能，則 QUIC 堆疊會將可傳送的伺服器資料量限制為從對等位址接收的資料量的 3 倍，直到 TLS 交握完成為止。OpenSSL QUIC 伺服器在非驗證模式下運作時，會在處理資料包中的每個 QUIC 封包時，將收到的整個資料包長度新增至未驗證的信用額度。遠端對等體在與初始用戶端 hello 框架建立連線後，可能會傳送包含多個 QUIC 封包的後續資料包，導致伺服器考慮資料包中每個封包的整個資料包長度，導致伺服器認為對等體發送的資料比實際多，從而違反了 RFC 規定的 3 倍放大限制。FIPS 影響：否 由於 QUIC 堆疊位於 FIPS 模組邊界之外，因此沒有 FIPS 模組會受到此 CVE 的影響。
    (CVE-2026-35191)

  - 問題摘要：QUIC 資料流重組演算法效能會隨著封包無序到達而逐漸惡化。最壞的情況是，二次複雜度與所接收資料流資料的緩衝區中保留的資料流畫面數目成正比。影響摘要：完成交握的遠端 QUIC 對等可能會在通告的接收視窗內使用合規的 STREAM 框架，造成連線範圍的 CPU 壓力，並可能造成拒絕服務，且攻擊者頻寬較低。CWE：CWE-407：
    低效的演算法複雜性描述：OpenSSL 使用雙鍊錶來管理收到的 QUIC 串流片段。雖然它針對附加作業 （在清單結尾） 進行最佳化，但對於不緊接在目前「尾部」之後的任何片段，它會回復為從頭到尾的線性搜尋。透過操縱偏移序列，攻擊者可以強制伺服器執行 O（n^2） 操作，從而消耗過多的 QUIC 進程 CPU 時間。FIPS 影響：無 FIPS 模組不受此問題影響，因為 QUIC 實作位於 OpenSSL FIPS 模組邊界之外。(CVE-2026-42772)

  - 問題摘要：用於 ECDSA 和 SM2 簽章作業的通用橢圓曲線純量乘法，其曲線沒有專用實作，會透過計時洩漏有關秘密隨機數的資訊。影響摘要：能夠測量簽署時間的攻擊者可能會瞭解每個簽章秘密隨機數的相關資訊，透過許多簽名，可以透過格子/隱藏號碼問題攻擊，導致私密金鑰復原。CWE：CWE-208：可觀察的時序差異描述：用於沒有專用恆定時間實現的曲線的通用橢圓曲線標量乘法使用非恆定時間 BIGNUM 運算填充秘密標量，因此所花費的時間取決於從 ECDSA 和 SM2 隨機派生的秘密標量的值。洩漏非常小;觀察它需要大量的測量。對於群組順序位於機器字邊界上的曲線，例如 brainpoolP384r1，這種影響最大。在 Brainpool 和其他通用主要曲線上使用 ECDSA 簽名的應用程序，以及在使用通用實現的平台上使用 SM2 簽名的應用程序，容易受到此問題的影響。NIST 曲線 P-256、P-384 和 P-521 使用專用的恆定時間實作，不受影響。FIPS 影響：否 FIPS 模組不受影響：FIPS 提供者中使用的核准 NIST 曲線具有專用的常數時間實作，且不使用受影響的程式碼路徑。（CVE-2026-54872）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 OpenSSL 版本低于 4.0.3。因此，该软件受到 4.0.3 公告中提及的多个漏洞影响。

  - 问题摘要：DTLS 重新传输逻辑未正确处理中途挂起的握手消息写入。重新传输的消息可通过消息缓冲区被读取，重新传输会覆盖内部状态，暂停写入需要正确恢复。影响汇总：当读取到达未映射的内存区域时，重新传输的消息可能会将堆内存作为明文握手数据泄露给对等机，或造成崩溃和拒绝服务。CWE：CWE-125：越界读取 描述：DTLS 握手消息可以分成多个片段写出，如果底层传输暂时无法接受更多数据，写入操作可能会在消息中间挂起（返回WANT_WRITE）。当这类写入暂停时，DTLS 重新传输计时器可能会独立触发，并要求重新传输逻辑从其重新传输队列重新发送较早的已确认为已发送消息。
    重新传输逻辑重复使用与仍在写入的消息相同的内部缓冲区和位置跟踪，而不将位置重置回重新传输的消息的开头。
    因此，会从暂停写入中断的位置开始读取重新传输，从而生成标记错误的消息，其正文是另一条仍在传输中的较大消息剩余的字节，此时从未打算发送的内容，并且可能超过分配的缓冲区末尾。另外，即使重新传输位置正确，在另一写入暂停时让其运行到完成，也将覆盖暂停写入恢复所依赖的同一个共享簿记。当应用程序稍后恢复暂停的写入（通过后续 SSL_read（）、SSL_write（）、SSL_accept（） 或 SSL_connect（） 调用）时，它会发现该簿记处于与消息不一致的状态，并在调试生成中中止该进程。此补丁在重新发送之前将重新传输的读取位置重置为消息开头，并且只要握手写入仍处于暂停状态，就完全跳过重新传输，从而延迟到恢复握手写入的下一个调用。FIPS 影响：否 受影响的代码超出 FIPS 模块边界。（CVE-2026-84782）

  - 问题摘要：包含多个 nameRelativeToCRLIssuer CRL 分发点的证书在 OpenSSL 缓存 X.509 扩展时造成不成比例的堆增长。影响汇总：从恶意对等方接收特制的证书会给客户端或请求客户端证书的服务器带来巨大的内存压力，甚至可能造成拒绝服务。CWE：CWE-770：无限制或限制地分配资源 描述：符合从对等机接受的证书大小限制 （~100 KiB） 的证书或一组证书，可导致在正常 TLS 握手期间，在接收端分配数百 MiB 的常驻内存。如果多个并发连接导致类似的大量内存分配，这可能足以使客户端或服务器崩溃。该补丁将证书中的 CRL 分发点扩展的处理延迟到 CRL 处理需要处理过的值的时间。这可避免在收到此类证书时将大内存分配长时间保留。FIPS 影响：否 受影响的代码超出 FIPS 模块边界。（CVE-2026-35189）

  - 问题摘要：OpenSSL QUIC 服务器在配置为不执行地址验证时，可被强制在其未经验证的信用计算中多次计算传入数据包，从而导致违反 RFC 9000 未经验证的连接放大限制，即所接收数据量的 3 倍。影响汇总：能够使用 OpenSSL QUIC 实现将数据包伪装到服务器的远程攻击者可能会利用服务器来放大 DDoS 攻击。CWE：CWE-440：预期行为违规 描述：当作为服务器运行时，OpenSSL 的 QUIC 堆栈会强制执行客户端地址验证（RFC 9000，第 8 节），以确认对等机地址未用于流量放大攻击。如果在服务器上禁用此功能，则在 TLS 握手完成之前，QUIC 堆栈会将可发送的服务器数据量限制为从对等机地址接收的数据量的 3 倍。OpenSSL QUIC 服务器在非验证模式下运行时，会在处理数据报中的每个 QUIC 数据包时，将接收的整个数据报的长度添加到未经验证的信用限额。远程对等机在与初始客户端 hello 帧建立连接后，可能会发送包含多个 QUIC 数据包的后续数据报，导致服务器考虑数据报中每个数据包的整个数据报长度，导致服务器认为对等机发送的数据比实际发送的数据多，从而违反 RFC 规定的 3 倍放大限制。FIPS 影响：否 由于 QUIC 堆栈位于 FIPS 模块边界之外，因此此 CVE 不会受到任何 FIPS 模块的影响。
    (CVE-2026-35191)

  - 问题摘要：QUIC 流重组算法性能会随着数据包无序到达而逐渐恶化。最坏情况的二次复杂度与为接收到的流数据保留在缓冲区中的流帧数成正比。影响汇总：完成握手的远程 QUIC 对等体可利用公告接收窗口内符合标准的 STREAM 帧（较低的攻击者带宽）造成连接范围的 CPU 压力，并可能造成拒绝服务。CWE：CWE-407：
    低效的算法复杂性 描述：OpenSSL 使用双重链接列表管理接收的 QUIC 流片段。虽然它针对附加操作进行了优化（在列表末尾），但它会回退到从头到尾的线性搜索，以查找不紧跟在当前“尾部”后面的任何片段。通过操纵偏移序列，攻击者可强制服务器执行 O（n^2） 操作，从而消耗过多用于 QUIC 进程的 CPU 时间。FIPS 影响：无 QUIC 实现位于 OpenSSL FIPS 模块边界之外，因此 FIPS 模块不受影响。(CVE-2026-42772)

  - 问题摘要：ECDSA 和 SM2 签名操作所用的通用椭圆曲线标量乘法，其曲线没有专用实现，会通过计时泄露秘密临时信息的相关信息。影响汇总：能够测量签名次数的攻击者可了解每个签名秘密随机数的相关信息，通过多个签名可通过格点/隐藏数字问题攻击导致私钥恢复。CWE：CWE-208：可观察的时序差异 描述：用于没有专用恒定时间实现的曲线的通用椭圆曲线标量乘法用非恒定时间 BIGNUM 运算填充秘密标量，因此所花费的时间取决于从 ECDSA 和 SM2 nonce 派生的秘密标量的值。泄漏非常小;观察它需要大量的测量。对于组顺序位于机器字边界上的曲线，例如brainpoolP384r1，这种影响最大。使用 ECDSA 通过 Brainpool 和其他通用素数曲线签名的应用程序，以及使用通用实现平台上的 SM2 签名的应用程序，都容易受到此问题的影响。NIST 曲线 P-256、P-384 和 P-521 使用专用的常数时间实现，不受影响。FIPS 影响：无 FIPS 模块不受影响：FIPS 提供程序中使用的经批准的 NIST 曲线具有专用的常量时间实现，并且不使用受影响的代码路径。（CVE-2026-54872）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 问题摘要：多个线程首次并发使用同一 X.509 证书时，可能导致在另一个线程仍在使用缓存的扩展数据时释放该数据。影响汇总：如果多个连接同时构建到同一个受信任 CA 证书的首个证书链，则未经身份验证的远程对等机可导致请求客户端证书的多线程 TLS 客户端或多线程 TLS 服务器崩溃。这是释放后使用读取，可能会造成进程崩溃，从而导致拒绝服务。CWE：CWE-416：释放后使用 描述：OpenSSL 在第一次需要证书的 X.509v3 扩展的解码值时将其缓存到对象内 X509 。在 OpenSSL 4.0 中，此缓存分两个阶段构建：在保持证书读取锁定的同时计算扩展值，然后在写入锁定下将结果安装到证书中。由于读取锁定不会排除其他读取器，因此多个线程可以同时计算同一证书的缓存。随后获取写锁定的每个线程都会安装自己的结果并释放前面的线程安装的值，即使该较早的线程已将缓存标记为完整并可能已将指针返回给其调用程序也是如此。仍在使用这些指针的调用程序随后会读取释放的内存。线程之间共享的任何证书在第一次解码其扩展时都会暴露。在 TLS 中，存在风险的证书是用于以任何方式进行链验证的受信任 CA 证书，因为每个连接均共享这些证书，并且其扩展在首次构建链时会得到解码和缓存。对等机发送的证书会针对每个连接单独解码，且不共享，因此不会受到影响。在验证服务器证书的 TLS 客户端，或请求并验证客户端证书的 TLS 服务器中，只有在多个连接同时构建到相同受信任 CA 的首条链时，才会发生释放后使用。FIPS 影响：
    否 FIPS 模块不受影响，因为 X.509 证书处理超出了 OpenSSL FIPS 模块边界。OpenSSL 4.0 容易受到此问题的影响。OpenSSL 3.6、 3.5、 3.4和 3.0不受 1.1.11.0.2 此问题的影响。OpenSSL 4.0 用户应在发布 OpenSSL 4.0.3 后升级到该版本。此问题由 Tim Becker （Xint.io） 于 2026 年 8 月 27 日报告，aydinmercan 在 2026 年 8 月 31 日的公开报告中独立报告。
    该补丁已由 Bob Beck 开发。-- cut（供内部使用的非发布元数据） -- 报告者：
    Tim Becker （Xint.io），aydinmercan 修复者：Bob Beck （CVE-2026-84783）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 問題摘要：數個執行緒第一次並行使用相同的 X.509 憑證，可能會導致其快取的延伸模組資料在另一個執行緒仍在使用時被釋放。影響摘要：如果以相同受信任 CA 憑證建置的第一個憑證鏈是由數個連線同時建置，則遠端未經驗證的對等可能會使多執行緒 TLS 用戶端或要求用戶端憑證的多執行緒 TLS 伺服器當機。這是釋放後使用讀取，可能會使處理程序當機，進而導致拒絕服務。CWE：CWE-416：釋放後使用 說明：OpenSSL 會在第一次需要憑證的 X.509v3 延伸模組時，將其解碼值快取到物件內 X509 。在 OpenSSL 4.0 中，此快取分兩個階段建置：在憑證上保留讀取鎖定時計算延伸值，然後在寫入鎖定下將結果安裝到憑證中。因為讀取鎖定不會排除其他讀取器，所以數個執行緒可以同時計算相同憑證的快取。後續取得寫入鎖定的每個執行緒都會安裝自己的結果，並釋放執行緒之前安裝的值，即使先前的執行緒已將快取標示為完成，而且可能已將指標傳回給呼叫端。然後，仍在使用這些指標的呼叫端會讀取釋放的記憶體。執行緒之間共用的任何憑證都會在第一次解碼其延伸模組時公開。在 TLS 中，有風險的憑證是透過任何方式提供用於鏈驗證的受信任 CA 憑證，因為這些憑證由每個連線共用，並且在第一次為它們建立鏈時，它們的延伸模組會被解碼和快取。對等傳送的憑證會針對每個連線個別解碼，而且不會共用，因此不會受到影響。在驗證伺服器憑證的 TLS 用戶端中，或要求及驗證用戶端憑證的 TLS 伺服器中，只有在建置至相同受信任 CA 的第一條鏈結由數個連線同時建置時，才會發生釋放後使用。FIPS 影響：
    否：FIPS 模組不受影響，因為 X.509 憑證處理位於 OpenSSL FIPS 模組邊界之外。OpenSSL 4.0 容易受到此問題的影響。OpenSSL 3.6、 3.5、 3.4、 3.01.1.1 和 1.0.2 不受此問題影響。OpenSSL 4.0 使用者應升級至 OpenSSL 4.0.3。此問題由 Tim Becker （Xint.io） 於 2026 年 8 月 27 日報告，並由 aydinmercan 於 2026 年 8 月 31 日在公開報告中獨立報告。
    該修復程序由 Bob Beck 開發。-- cut（供內部使用的非發佈中繼資料） -- 報告者：
    Tim Becker （Xint.io），aydinmercan 修復者：Bob Beck （CVE-2026-84783）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

リモートホストにインストールされている OpenSSL は、4.0.3 より前のバージョンです。したがって、4.0.3 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 問題のサマリー:DTLS 再送信ロジックが、途中で中断されたハンドシェイクメッセージ書き込みを正しく処理しません。再送信されたメッセージは、メッセージバッファを越えて読み取られる可能性があり、再送信は、中断された書き込みが適切に再開する必要がある内部状態を上書きします。影響のサマリー:再送信されたメッセージは、ヒープメモリを平文のハンドシェイクデータとしてピアに漏えいしたり、読み取りがマップされていないメモリ領域に到達するとクラッシュやサービス拒否を引き起こす可能性があります。CWE:CWE-125:領域外読み取り 説明:DTLS ハンドシェイクメッセージは複数のフラグメントで書き出すことができ、下層のトランスポートが一時的にそれ以上のデータを受け入れることができない場合、書き込みはメッセージの途中(WANT_WRITEを返す)で一時的に中断できます。このような書き込みが中断されている間、DTLS 再送信タイマーは独立して起動し、再送信ロジックに再送信キューから既に既に送信済みのメッセージを再送信するように依頼する可能性があります。
    再送信ロジックは、位置を再送信中のメッセージの先頭にリセットすることなく、まだ書き込まれているメッセージと同じ内部バッファおよび位置追跡を再利用しました。
    結果として、再送信は、中断された書き込みが中断した場所から開始され、誤ってラベルの付けられたメッセージが生成され、その本文はまだ飛行中の大きなメッセージからのバイトが残っています。その時点で送信されるはずのないコンテンツで、割り当てられたバッファの終端を越える可能性があります。これとは別に、再送信の位置が正しい場合でも、別の書き込みが中断されている間に再送信を完了まで実行できるようになると、中断された書き込みが再開するために依存しているのと同じ共有簿記が上書きされます。アプリケーションが後に中断された書き込みを(後続のSSL_read()、SSL_write()、SSL_accept()、またはSSL_connect()呼び出しを介して)再開するとき、メッセージと矛盾した状態の簿記が見つかり、デバッグビルドでプロセスを中止します。この修正は、再送信の読み取り位置をメッセージの先頭にリセットしてから再送信します。また、ハンドシェイク書き込みが中断中であれば必ず再送信を完全にスキップし、代わりに再開する次の呼び出しまで延期します。FIPS の影響:いいえ 影響を受けるコードは、FIPS モジュールの境界外にあります。(CVE-2026-84782)

  - 問題のサマリー:多数の nameRelativeToCRLIssuer CRL ディストリビューションポイントを持つ証明書は、OpenSSL が X.509 拡張をキャッシュする際に、不均衡なヒープの増加を引き起こします。影響のサマリー:悪意のあるピアから細工された証明書を受け取ると、メモリが大幅に圧迫され、クライアント証明書を要求するクライアントまたはサーバーでサービス拒否が発生する可能性があります。CWE:CWE-770:制限やスロットリングのないリソースの割り当て 説明:ピアから受け入れられる証明書のサイズ制限(~100 KiB)に収まる証明書または証明書のセットにより、通常のTLSハンドシェイク中に受信側に数百MiBの常駐メモリが割り当てられる可能性があります。複数の同時接続が同様に大きなメモリ割り当てにつながる場合、これはクライアントまたはサーバーをクラッシュさせるのに十分かもしれません。この修正では、証明書のCRL配布ポイント拡張の処理を、CRL処理に処理値が必要となる時間に延期します。こうした証明書を受信した時に、大量のメモリ割り当てを長時間保持することが回避されます。FIPS の影響:いいえ 影響を受けるコードは、FIPS モジュールの境界外にあります。(CVE-2026-35189)

  - 問題のサマリー:OpenSSL QUIC サーバーは、アドレス検証を実行しないように構成されている場合、未検証のクレジット計算で着信パケットを複数回カウントするように強制される可能性があります。これにより、受信データ量の 3 倍である RFC 9000 未検証接続増幅制限の違反につながります。影響のサマリー:OpenSSL QUIC実装を使用してパケットをサーバーに偽装できるリモートの攻撃者が、そのサーバーをDDoS攻撃の増幅に使用する可能性があります。CWE:CWE-440:予想される動作 違反 説明:OpenSSL の QUIC スタックは、サーバーとして動作するとき、クライアントアドレスの検証を強制します(RFC 9000、セクション 8)、ピアアドレスがトラフィック増幅攻撃に使用されていないことを確認します。サーバーでこの機能が無効になっている場合、QUICスタックは、TLSハンドシェイクが完了するまで、送信できるサーバーデータ量をピアアドレスから受信したデータ量の3倍に制限します。OpenSSL QUIC サーバーが非検証モードで動作している場合、受信したデータグラム全体の長さを、データグラム内の各 QUIC パケットを処理するときに未検証のクレジット制限に加算します。リモートピアが、初期クライアントの hello フレームで接続を確立した後、複数の QUIC パケットを含む後続のデータグラムを送信することがあり、これによりサーバーがデータグラム内の各パケットのデータグラムの長さ全体を計算し、結果としてピアが実際よりも多くのデータを送信したとサーバーが判断し、RFC で義務付けられている 3x 増幅制限に違反します。FIPS の影響:いいえ QUIC スタックは FIPS モジュール境界の外に存在するため、この CVE の影響を受ける FIPS モジュールはありません。
    (CVE-2026-35191)

  - 問題のサマリー:QUIC ストリーム再アセンブリアルゴリズムのパフォーマンスは、パケットの到着が順番に狂うと徐々に劣化します。最悪の場合、受信したストリームデータのためにバッファに保持されているストリームフレームの数に比例する二次複雑度があります。影響のサマリー:ハンドシェイクを完了するリモートのQUICピアが、アドバタイズされた受信ウィンドウ内の準拠するSTREAMフレームを使用して、接続範囲のCPUプレッシャーを引き起こし、低い攻撃者の帯域幅でサービス拒否を引き起こす可能性があります。CWE:CWE-407:
    非効率なアルゴリズムの複雑性 説明:OpenSSL は、二重にリンクされたリストを使用して、受信した QUIC ストリームフラグメントを管理します。追加操作(リストの最後)に最適化されますが、現在の「tail」の直後に続かないフラグメントについては、頭から尾までの線形検索にフォールバックします。オフセットのシーケンスを操作することにより、攻撃者はサーバーに O(n^2) 操作を強制し、QUIC プロセスに過剰な CPU 時間を消費させる可能性があります。FIPS impact: FIPS モジュールは、この問題による影響を受けません。これは、QUIC 実装が OpenSSL FIPS モジュール境界の外にあるためです。(CVE-2026-42772)

  - 問題のサマリー:専用の実装を持たない曲線をもつ ECDSA および SM2 署名操作に使用される汎用楕円曲線のスカラー倍が、タイミングを通じて秘密のノンスに関する情報を漏洩します。影響のサマリー:署名時間を測定できる攻撃者が、多数の署名にわたって、格子/隠し番号問題攻撃を介して、秘密鍵の回復を引き起こすことができる、署名ごとの秘密の nonce に関する情報を知る可能性があります。CWE:CWE-208:観察可能なタイミングの不一致 説明:専用の定数時間実装を持たない曲線に使用される汎用楕円曲線スカラー乗算は、秘密のスカラーを非定数時間BIGNUM演算で埋め込むため、かかる時間はECDSAとSM2 nonceから派生した秘密のスカラーの値に依存します。漏れは非常に小さいです。それを観察するには、多数の測定が必要です。この効果は、brainpoolP384r1 のように、グループの順序が機械語の境界上にある曲線で最大になります。Brainpoolやその他の汎用素数曲線を介してECDSA署名、ならびに汎用実装を使用するプラットフォームでSM2署名を使用するアプリケーションは、この問題に対して脆弱です。NIST 曲線 P-256、P-384 および P-521 は専用の定数時間実装を使用しており、影響を受けません。FIPS の影響:いいえ FIPS モジュールは影響を受けません:FIPS プロバイダーで使用される承認済みの NIST カーブには専用の定数時間実装があり、影響を受けるコードパスを使用しません。(CVE-2026-54872)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 問題のサマリー:複数のスレッドが同じ X.509 証明書を初めて同時に使用すると、別のスレッドがまだそれを使用している間に、キャッシュされた拡張データが解放される可能性があります。影響のサマリー:同じ信頼できるCA証明書に対して構築された最初の証明書チェーンが複数の接続で同時に構築されている場合、認証されていないリモートのピアが、マルチスレッドTLSクライアントまたはクライアント証明書を要求するマルチスレッドTLSサーバーをクラッシュさせる可能性があります。これは use-after-free の読み込みであり、プロセスをクラッシュさせ、サービス拒否を引き起こす可能性があります。CWE:CWE-416:use-after-free 説明:OpenSSL は、証明書の X.509v3 拡張のデコードされた値を、最初に必要とされたときに X509 オブジェクト内部にキャッシュします。OpenSSL 4.0 では、このキャッシュは2つのフェーズで構築されます。証明書の読み取りロックを保持しながら拡張値が計算され、その結果は書き込みロックされた状態で証明書にインストールされます。読み取りロックは他のリーダーを除外しないため、複数のスレッドが同時に同じ証明書のキャッシュを計算できます。その後書き込みロックを取得する各スレッドは、それより前のスレッドがキャッシュを完了としてすでにマークしており、呼び出し元にポインターを返している場合でも、独自の結果をインストールし、その前にスレッドによってインストールされた値を解放します。これらのポインターをまだ使用している呼び出し元は、解放されたメモリを読み込みます。スレッド間で共有される証明書は、その拡張が最初にデコードされたときに公開されます。TLS、危険にさらされている証明書は、あらゆる手段でチェーン検証用に提供される信頼できるCA証明書です。これは、これらの証明書はあらゆる接続で共有され、チェーンが最初に構築されるときにその拡張がデコードされ、キャッシュされるためです。ピアによって送信された証明書は、接続ごとに個別にデコードされ共有されないため、影響を受けません。サーバー証明書を検証する TLS クライアント、またはクライアント証明書を要求して検証する TLS サーバーでは、同じ信頼できる CA に構築された最初のチェーンが同時に複数の接続によって構築された場合にのみ、use-after-free が発生する可能性がありました。FIPS の影響:
    X.509 証明書処理は OpenSSL FIPS モジュールの境界外にあるため、FIPS モジュールは影響を受けません。OpenSSL 4.0 は、この問題に対して脆弱です。OpenSSL 3.6、 3.5、 3.4、 3.0、 1.1.1 、および 1.0.2 は、この問題の影響を受けません。OpenSSL 4.0 ユーザーは、OpenSSL 4.0.3 にアップグレードする必要があります。この問題は、2026 年 8 月 27 日に Tim Becker 氏(Xint.io)によって、また個別に aydinmercan による 2026 年 8 月 31 日の公開レポートで報告されました。
    この修正は、Bob Beck 氏により開発されました。-- cut(内部使用のための非公開メタデータ) -- 報告者:
    Tim Becker 氏(Xint.io)、aydinmercan 修正者: Bob Beck 氏(CVE-2026-84783)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、0d183075-bcb5-11f1-b09d-8447094a420f のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    OpenSSL プロジェクトによる報告

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of OpenSSL installed on the remote host is prior to 4.0.3. It is, therefore, affected by multiple vulnerabilities as referenced in the 4.0.3 advisory.

  - Issue summary: The DTLS retransmission logic does not correctly handle a handshake message write that is     suspended part-way through. The retransmitted message can be read past the message buffer and the     retransmission overwrites the internal state the suspended write needs to resume correctly. Impact     summary: The retransmitted message can disclose a heap memory to the peer as plaintext handshake data or     cause a crash and a Denial of Service when the read reaches an unmapped memory region. CWE: CWE-125: Out-     of-bounds Read Description: DTLS handshake messages can be written out in multiple fragments, and a write     can suspend mid-message (returning WANT_WRITE) if the underlying transport temporarily cannot accept more     data. While such a write is suspended, the DTLS retransmission timer may independently fire and ask the     retransmission logic to resend an earlier, already-acknowledged-as-sent message from its retransmit queue.
    The retransmission logic reused the same internal buffer and position tracking as the message that was     still being written, without resetting the position back to the start of the message being retransmitted.
    As a result the retransmission was read starting from wherever the suspended write had left off, producing     a mislabelled message whose body was leftover bytes from the other, larger message still in flight -     content that was never meant to be sent at that point, and which could run past the end of the allocated     buffer. Separately, even when the retransmission is positioned correctly, allowing it to run to completion     while another write is suspended overwrites the same shared bookkeeping that the suspended write depends     on to resume. When the application later resumes the suspended write (via a subsequent SSL_read(),     SSL_write(), SSL_accept(), or SSL_connect() call), it finds that bookkeeping in a state inconsistent with     the message and aborts the process in a debugging build. The fix resets the retransmission's read position     to the start of the message before resending, and skips retransmission entirely whenever a handshake write     is still suspended, deferring to the next call that resumes it instead. FIPS impact: no The affected code     is outside the FIPS module boundary. (CVE-2026-84782)

  - Issue summary: A certificate with many nameRelativeToCRLIssuer CRL distribution points causes     disproportionate heap growth when OpenSSL caches X.509 extensions. Impact summary: Receiving a crafted     certificate from a malicious peer can lead to significant memory pressure and possible Denial of Service     in clients or in servers that solicit client certificates. CWE: CWE-770: Allocation of Resources Without     Limits or Throttling Description: A certificate or a set of certificates that fits under the limit for     size of certificates accepted from the peer (~100 KiB) can result in allocation of several hundred MiB of     resident memory on the receiving side during a normal TLS handshake. This may be enough to crash the     client or server, if multiple concurrent connections lead to similarly large memory allocations. The fix     postpones processing of the CRL distribution points extensions in certificates to the time when the     processed value is required for CRL processing. This avoids keeping large memory allocations for a long     time when such certificates are received. FIPS impact: no The affected code is outside the FIPS module     boundary. (CVE-2026-35189)

  - Issue summary: The OpenSSL QUIC server, when configured to not preform address validation, can be forced     to count incoming packets multiple times in its unvalidated credit computation, leading to a violation of     the RFC 9000 unvalidated connection amplification limit of 3 times the amount of data received. Impact     summary: A remote attacker able to spoof packets to a server using the OpenSSL QUIC implementation might     use the server for an amplification of a DDoS attack. CWE: CWE-440: Expected Behavior Violation     Description: OpenSSL's QUIC stack, when operating as a server, enforces client address validation (RFC     9000, Section 8), to confirm the peer address is not used for a traffic amplification attack. If this     feature is disabled on the server, the QUIC stack limits the amount of server data that can be sent to 3     times the amount of data received from the peer address, until such time as the TLS handshake is     completed. The OpenSSL QUIC server, when operating in non-validation mode, adds the length of the whole     datagram received to the unvalidated credit limit when processing each QUIC packet in the datagram. A     remote peer may, after establishing a connection with an initial client hello frame, send a subsequent     datagram containing multiple QUIC packets, leading the server to account the entire datagram length for     each packet in the datagram, resulting in the server believing that the peer has sent more data than it     actually has, thereby violating the 3x amplification limit mandated by the RFC. FIPS impact: no As the     QUIC stack lives outside the FIPS module boundary, no FIPS modules are affected by this CVE.
    (CVE-2026-35191)

  - Issue summary: The QUIC stream reassembly algorithm performance deteriorates progressively as packets are     arriving out of order. The worst case has a quadratic complexity proportional to the number of stream     frames kept in the buffer for the received stream data. Impact summary: A remote QUIC peer that completes     the handshake can create a connection-scoped CPU pressure and potentially a Denial of Service using     compliant STREAM frames inside the advertised receive window, with low attacker bandwidth. CWE: CWE-407:
    Inefficient Algorithmic Complexity Description: OpenSSL manages received QUIC stream fragments using a     doubly-linked list. While it optimizes for append operations (at the end of the list), it falls back to a     head-to-tail linear search for any fragment that does not immediately follow the current `tail`. By     manipulating the sequence of offsets, an attacker can force the server to perform O(n^2) operations,     consuming excessive CPU time for the QUIC process. FIPS impact: no The FIPS module is not affected as the     QUIC implementation is outside of the OpenSSL FIPS module boundary. (CVE-2026-42772)

  - Issue summary: The generic elliptic-curve scalar multiplication used for ECDSA and SM2 signature     operations with curves that do not have a dedicated implementation leaks information about the secret     nonce through timing. Impact summary: An attacker able to measure signing times may learn information     about the per-signature secret nonce, which over many signatures can, via a lattice / Hidden Number     Problem attack, lead to recovery of the private key. CWE: CWE-208: Observable Timing Discrepancy     Description: The generic elliptic-curve scalar multiplication used for curves that do not have a dedicated     constant-time implementation pads the secret scalar with non-constant-time BIGNUM operations, so the time     taken depends on the value of the secret scalar derived from the ECDSA and SM2 nonce. The leak is very     small; observing it requires a large number of measurements. The effect is largest for curves whose group     order lies on a machine-word boundary, such as brainpoolP384r1. Applications using ECDSA signing over the     Brainpool and other generic prime curves, and SM2 signing on platforms that use the generic     implementation, are vulnerable to this issue. The NIST curves P-256, P-384 and P-521 use dedicated     constant-time implementations and are not affected. FIPS Impact: no The FIPS modules are not affected: the     approved NIST curves used in the FIPS provider have dedicated constant-time implementations and do not use     the affected code path. (CVE-2026-54872)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Issue summary: The first concurrent use of the same X.509 certificate by several threads may cause its     cached extension data to be freed while another thread is still using it. Impact summary: A remote,     unauthenticated peer could crash a multi-threaded TLS client, or a multi-threaded TLS server that requests     client certificates, if the first certificate chains built to the same trusted CA certificate are built by     several connections at the same time. This is a use-after-free read, which is likely to crash the process,     resulting in a Denial of Service. CWE: CWE-416: Use After Free Description: OpenSSL caches the decoded     values of a certificate's X.509v3 extensions inside the X509 object the first time they are needed. In     OpenSSL 4.0 this cache is built in two phases: the extension values are computed while holding a read lock     on the certificate, and the results are then installed into the certificate under a write lock. Because a     read lock does not exclude other readers, several threads can compute the cache for the same certificate     at the same time. Each thread that subsequently acquires the write lock installs its own results and frees     the values installed by the thread before it, even though that earlier thread has already marked the cache     as complete and may have returned pointers into it to its caller. A caller still using those pointers then     reads freed memory. Any certificate shared between threads is exposed the first time its extensions are     decoded. In TLS the certificates at risk are the trusted CA certificates supplied for chain verification,     by whatever means, since these are shared by every connection and their extensions are decoded and cached     the first time a chain is built to them. Certificates sent by the peer are decoded separately for each     connection and are not shared, so they are not affected. In a TLS client verifying server certificates, or     a TLS server that requests and verifies client certificates, the use-after-free could only occur if the     first chains built to the same trusted CA are built by several connections at the same time. FIPS impact:
    no The FIPS module is not affected as X.509 certificate handling is outside of the OpenSSL FIPS module     boundary. OpenSSL 4.0 is vulnerable to this issue. OpenSSL 3.6, 3.5, 3.4, 3.0, 1.1.1 and 1.0.2 are not     affected by this issue. OpenSSL 4.0 users should upgrade to OpenSSL 4.0.3. This issue was reported on 27     August 2026 by Tim Becker (Xint.io) and independently in a public report on 31 August 2026 by aydinmercan.
    The fix has been developed by Bob Beck. -- cut (non-publishing metadata for internal use) -- Reported by:
    Tim Becker (Xint.io), aydinmercan Fixed by: Bob Beck (CVE-2026-84783)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the 0d183075-bcb5-11f1-b09d-8447094a420f advisory.

    The OpenSSL project reports:

Tenable has extracted the preceding description block directly from the FreeBSD security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
352189	OpenSSL 4.0.0 < 4.0.3 多個弱點	Nessus	Web Servers	2026/9/30	2026/10/2	high
352189	OpenSSL 4.0.0 < 4.0.3 多个漏洞	Nessus	Web Servers	2026/9/30	2026/10/2	high
351203	Linux Distros 未修补的漏洞：CVE-2026-84783	Nessus	Misc.	2026/9/29	2026/10/9	high
351203	Linux Distros 未修補弱點：CVE-2026-84783	Nessus	Misc.	2026/9/29	2026/10/9	high
352189	OpenSSL 4.0.0< 4.0.3複数の脆弱性	Nessus	Web Servers	2026/9/30	2026/10/2	high
351203	Linux Distros のパッチ未適用の脆弱性: CVE-2026-84783	Nessus	Misc.	2026/9/29	2026/10/9	high
353457	FreeBSD: OpenSSL -- 複数の脆弱性 (0d183075-bcb5-11f1-b09d-8447094a420f)	Nessus	FreeBSD Local Security Checks	2026/10/1	2026/10/2	high
352189	OpenSSL 4.0.0 < 4.0.3 Multiple Vulnerabilities	Nessus	Web Servers	2026/9/30	2026/10/2	high
351203	Linux Distros Unpatched Vulnerability : CVE-2026-84783	Nessus	Misc.	2026/9/29	2026/10/9	high
353457	FreeBSD : OpenSSL -- Multiple vulnerabilities (0d183075-bcb5-11f1-b09d-8447094a420f)	Nessus	FreeBSD Local Security Checks	2026/10/1	2026/10/2	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high