概要
GnuTLS ライブラリの証明書検証処理に欠陥（CWE-1284：不適切な入力数量検証）が発見されました。証明書の Subject Alternative Name (SAN) フィールドが過大な値を含む場合、検証プロセスが誤って Common Name (CN) フィールドへのフォールバックを実行します。
これにより、リモートの攻撃者が正規の証明書検証を回避し、スプーフィングや中間者（MitM）攻撃を行える可能性があります。
関連して CVE-2026-5260（CVSS 8.2）では、PKCS#11トークン使用時のRSA鍵交換で極めて短いpremaster secretを送ることでヒープオーバーリードが発生し、情報漏洩につながる可能性があります。
CVSSベクトル
| 項目 | 値 |
|---|---|
| スコア | 8.2（High） |
| 攻撃経路 | ネットワーク（AV:N） |
| 攻撃の複雑さ | 低（AC:L） |
| 必要な権限 | なし（PR:N） |
| ユーザー操作 | 不要（UI:N） |
| CWE | CWE-1284（不適切な入力数量検証） |
影響を受けるソフトウェア
- GnuTLS（Red Hat Enterprise Linux を含む各ディストリビューション）
修正バージョンと回避策
以下のRed Hat セキュリティアドバイザリを確認し、パッチを適用してください：
- RHSA-2026:20611
- RHSA-2026:20612
- RHSA-2026:20613
- RHSA-2026:26319
- RHSA-2026:26409
各ディストリビューションのパッケージアップデートツールで最新の GnuTLS パッケージに更新してください。
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。