openssl on Windows ビルドマシンから openssldir が設定された状態でビルドされた場合 (Uncontrolled Search Path Element)

CVE-2026-34054 は、vcpkg によって管理されている OpenSSL の Windows ビルドに影響します。vcpkg 3.6.1#3 以前のバージョンでは、vcpkg は openssldir 変数をビルドマシンのパスに設定していました。これにより、このパスと関連する OpenSSL 設定が、ソフトウェアのインストール中に顧客マシンに転送される可能性がありました。攻撃者は、このパスが誤用されたり、それに不正なアクセスが許可されたりした場合、アプリケーションのセキュリティを侵害する可能性があります。CVSS スコア 7.8 は、中程度の重大度を持つ脆弱性を示しています。

Organizations that utilize vcpkg for building C/C++ applications on Windows, particularly those relying on OpenSSL for secure communication or data encryption, are at risk. This includes developers, DevOps teams, and system administrators involved in the build and deployment pipelines. Shared hosting environments where multiple users build applications using a common vcpkg installation are also particularly vulnerable.

• windows / supply-chain:

Get-ChildItem -Path "C:\Program Files\vcpkg\installed\x64-windows\bin\openssl.exe" -ErrorAction SilentlyContinue | Select-Object -ExpandProperty FullName

• linux / server:

find / -name "openssl.cnf" -print 2>/dev/null

• generic web:

curl -I https://example.com | grep openssldir

1. 2026-03-31Disclosure

   disclosure

1. 予約済み2026-03-25
2. 公開日2026-03-31
3. 更新日2026-04-02
4. EPSS 更新日2026-04-07

この問題に対する解決策は、vcpkg をバージョン 3.6.1#3 以降に更新することです。このバージョンは openssldir の誤った設定を修正し、インストールプロセス中にパスが正しく設定されるようにすることで、ビルドマシンのパスが顧客マシンに転送されるのを防ぎます。このリスクを軽減するために、できるだけ早く vcpkg を更新することを強くお勧めします。さらに、プロジェクトの依存関係を確認して、安全なバージョンの vcpkg と OpenSSL を使用していることを確認してください。更新がこの脆弱性から保護するための最も重要なステップです。