つみかさね

CVE-2026-5260

High(8.2)

CVE-2026-5260 — libgnutls PKCS#11 RSA鍵交換ヒープオーバーリード（CVSS 8.2）

公開日: 2026-06-25データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
libgnutls / GnuTLSGnuTLS Project / Red Hatパッチ未適用の各バージョン（PKCS#11使用時）

対応ガイド

high|推奨セキュリティ修正影響: 限定的

推奨アクション

  1. 1libgnutls/GnuTLSのバージョンを確認する
  2. 2PKCS#11トークンをRSA鍵交換に使用しているか確認する
  3. 3ディストリビューションの提供するパッチ（RHSAなど）を適用する

影響対象

GnuTLS利用システム（PKCS#11トークン使用のサーバー）

補足

  • -PKCS#11トークンを使用しない環境では影響を受けない可能性があります
CVEGnuTLSlibgnutlsPKCS#11ヒープオーバーリード情報漏洩TLS

概要

libgnutls ライブラリの PKCS#11 トークンを使用したサーバーにおける RSA 鍵交換処理に脆弱性（CWE-1284：不適切な入力数量検証）が発見されました。

リモートの攻撃者が極めて短い premaster secret を RSA 鍵交換でサーバーへ送信することで、ヒープ上の短い読み取り過ぎ（slab-out-of-bounds read）が発生し、バッファ境界を超えたメモリ領域の内容が漏洩する可能性があります。これにより情報開示につながるメモリ破壊が起こりえます。

関連する CVE-2026-42013（CVSS 8.2）ではSANフィールドの過大値による証明書検証バイパスが確認されています。

CVSSベクトル

項目値
スコア8.2（High）
攻撃経路ネットワーク（AV:N）
攻撃の複雑さ低（AC:L）
必要な権限なし（PR:N）
ユーザー操作不要（UI:N）
CWECWE-1284（不適切な入力数量検証）

影響を受けるソフトウェア

  • libgnutls / GnuTLS（PKCS#11トークン使用のサーバー）
  • Red Hat Enterprise Linux（RHSA対象バージョン）

修正バージョンと回避策

以下のRed Hatセキュリティアドバイザリを確認し、パッチを適用してください：

  • RHSA-2026:20611 / RHSA-2026:20612 / RHSA-2026:20613

PKCS#11 トークンを使用しない環境では影響を受けない可能性があります。

関連リンク

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

関連する脆弱性

CVE-2026-42013GnuTLS SAN検証バイパス（中間者攻撃）CVSS 8.2

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-5260
Red Hat RHSA:https://access.redhat.com/errata/RHSA-2026:20611
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。