問題の概要: QUICプロトコルのクライアントまたはサーバーでSSL_CIPHER_find()関数を使用するアプリケーションが、ピアから未知の暗号スイートを受信した場合にNULL参照が発生します。影響の概要: NULLポインタ参照により実行中のプロセスが異常終了し、サービス拒否が発生します。一部のアプリケーションはclient_hello_cbコールバックからピアが受信した暗号IDに対してSSL_CIPHER_find()を呼び出します。QUICプロトコルを実装するSSLオブジェクトでこれが行われた場合、調査した暗号IDが不明またはサポートされていなければNULLポインタ参照が発生します。QUICプロトコルを使用するアプリケーションでこの関数を呼び出すことはあまり一般的ではなく、最悪の場合の結果はサービス拒否であるため、本問題は低深刻度と評価されました。脆弱なコードはQUICプロトコルサポートの追加に伴いバージョン3.2で導入されました。3.6、3.5、3.4および3.3のFIPSモジュールはこの問題に影響されません。なぜならQUIC実装がOpenSSL FIPSモジュールの境界外にあるためです。OpenSSL 3.6、3.5、3.4および3.3はこの問題に対して脆弱ですが、OpenSSL 3.0、1.1.1および1.0.2はこの問題の影響を受けません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。