GnuTLS 3.8.13 リリース：認証バイパスとメモリ破損を含む複数の脆弱性を修正

GnuTLS 3.8.13 Released with Fix for 12 Vulnerabilities Affecting Network Communications

2026/05/05 CyberSecurityNews — GnuTLS バージョン 3.8.13 が正式にリリースされ、セキュアなネットワーク通信に影響を及ぼす、複数の深刻なセキュリティ脆弱性が修正された。このアップデートは、GnuTLS を使用している全システムに対して強く推奨されるものであり、メモリ破損／認証バイパス／証明書検証の不備などに対処するものだ。

このリリースで修正された脆弱性のうち 4 件は、深刻度 High に分類されているため、セキュリティ・チームによる迅速な対応が必要である。これらの深刻な欠陥は、主に Datagram Transport Layer Security (DTLS) 実装および特定の認証設定に影響する。

これらのメモリ破損やバイパスの脆弱性を悪用する攻撃者は、リモート・サーバ侵害／サービス妨害を引き起こす可能性がある。今回のアップデートでは、タイミング・サイドチャネルからヒープ・オーバーランに至るまでの、幅広い問題が修正されている。

主要な脆弱性は以下の通りである：

CVE ID	Severity	Issue Type	Summary
CVE-2026-33846	High	Heap Overwrite	Missing checks could let attackers overwrite memory.
CVE-2026-42010	High	Auth Bypass	Flawed username handling allows login bypass.
CVE-2026-33845	High	Heap Overrun	Memory error may let attackers overflow data remotely.
CVE-2026-42009	High	Undefined Behavior	Packet sorting flaw may cause unpredictable issues.
CVE-2026-42013	Medium	Cert Validation Issue	Improper certificate checks could weaken security.
CVE-2026-42014	Medium	Use-After-Free	Memory bug triggered during PIN changes.
CVE-2026-3833	Moderate	Constraint Bypass	Domain checks ignore case rules, risking validation bypass.
CVE-2026-5419	Low	Timing Leak	Timing flaw may expose sensitive information.

管理者にとって必要なことは、GnuTLS 3.8.13 へとアップグレードし、これらの脅威を軽減することだ。特に DTLS または RSA-PSK 認証を使用する公開サーバはリスクが高いため、可能な限り迅速にアップデートすることが求められる。

予防策としてセキュリティ運用チームは、DTLS の異常トラフィックと不正な形式の RSA-PSK 認証試行を検知するために、監視ツールを用いるべきだ。基盤となる暗号ライブラリを最新の状態に維持することは、ネットワークへの初期侵害防止における重要な戦略である。

訳者後書：今回のアップデートでは、メモリ管理の不備や認証処理のロジックミスを原因とする脆弱性が修正されています。具体的には、メモリの境界チェックが不足していたために発生する、CVE-2026-33846 や CVE-2026-33845 などのヒープ関連の脆弱性が修正されています。また、ユーザー名処理の不備からログインを許してしまう CVE-2026-42010 などの、プログラムが想定外の入力に対して正しく振る舞えない問題も対処されています。特に、DTLS の実装や証明書検証 (CVE-2026-42013) といった通信の根幹に関わる部分で、境界値の確認やポインタの扱い、名前の照合ルールが不十分であったことが、深刻なリスクを生むきっかけとなっています。ご利用のチームは、ご注意ください。