問題の概要: 不正な形式のPKCS#12ファイルを処理すると、PKCS12_item_decrypt_d2i_ex()関数内でNULLポインタ参照が発生する可能性があります。影響の概要: NULLポインタ参照によりクラッシュが発生し、PKCS#12ファイルを処理するアプリケーションでサービス拒否（DoS）が引き起こされる可能性があります。PKCS12_item_decrypt_d2i_ex()関数は、octパラメータがNULLであるかどうかを参照前に確認しません。不正なPKCS#12ファイルにおいて、PKCS12_unpack_p7encdata()から呼び出された場合、このパラメータがNULLになることがあり、クラッシュを引き起こします。この脆弱性はサービス拒否に限定されており、コード実行やメモリ情報漏洩には至りません。この問題を悪用するには、攻撃者が不正なPKCS#12ファイルを処理するアプリケーションに提供する必要があります。そのため、当社のセキュリティポリシーに基づき本問題の深刻度は低いと評価されました。3.6、3.5、3.4、3.3、および3.0のFIPSモジュールは、本問題の影響を受けません。これはPKCS#12実装がOpenSSL FIPSモジュールの境界外にあるためです。OpenSSL 3.6、3.5、3.4、3.3、3.0、1.1.1、および1.0.2は本問題の影響を受けます。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。