プラットフォーム
c
コンポーネント
botan
修正版
3.11.1
BotanはC++で記述された暗号化ライブラリです。CVE-2026-34580は、Botan 3.11.0において発見された認証バイパスの脆弱性です。この脆弱性は、証明書ストア内の証明書のDN（識別名）が一致する場合に、CertificateStore::certificateknown関数が誤ってtrueを返すという問題に起因します。これにより、攻撃者は不正な証明書を提示し、認証を回避する可能性があります。影響を受けるバージョンはBotan 3.11.0です。バージョン3.11.1でこの問題が修正されています。
この認証バイパス脆弱性を悪用されると、攻撃者は正規の証明書を偽装し、システムへの不正アクセスを試みることができます。例えば、攻撃者は自身の証明書を正規の証明書として提示し、機密情報へのアクセスを試みたり、システム上で悪意のあるコードを実行したりする可能性があります。この脆弱性は、Botanライブラリを使用しているアプリケーションやサービスに影響を及ぼし、機密情報の漏洩やシステムの制御喪失につながる可能性があります。類似の脆弱性は、証明書検証の不備から生じる可能性があり、注意が必要です。
この脆弱性は、2026年4月7日に公開されました。現時点では、公開されているPoC（Proof of Concept）は確認されていませんが、認証バイパスの脆弱性は悪用される可能性が高いため、注意が必要です。CISA KEV（Known Exploited Vulnerabilities）カタログへの登録状況は確認されていません。NVD（National Vulnerability Database）の情報も参照し、最新の情報を確認してください。
Applications and systems relying on Botan 3.11.0 for certificate validation are at risk. This includes systems using Botan for TLS/SSL connections, digital signatures, and other cryptographic operations. Specifically, developers who have integrated Botan into custom applications or embedded systems are particularly vulnerable.
• linux / server: Examine Botan library usage within your applications. Use ldd to identify applications linking to Botan. Then, inspect the application's code for calls to CertificateStore::certificateknown.
ldd /path/to/application | grep botan• generic web: If Botan is used in a web server or application, review the server's configuration for certificate pinning or other validation mechanisms. Check for unusual certificate chains or certificate errors in the server's logs.
• c: Review Botan library integration points in your C/C++ applications. Look for code that relies on CertificateStore::certificateknown for certificate validation.
disclosure
エクスプロイト状況
EPSS
0.03% (9% パーセンタイル)
CISA SSVC
この脆弱性への対応として、Botanライブラリをバージョン3.11.1にアップデートすることを強く推奨します。アップデートがすぐに利用できない場合は、証明書検証のロジックを強化し、DNだけでなく、証明書の内容全体を厳密に検証するように変更することで、リスクを軽減できる可能性があります。また、WAF（Web Application Firewall）やプロキシサーバーを使用して、不正な証明書を検出・ブロックすることも有効です。アップデート後、証明書検証のロジックが正しく機能していることを確認してください。
Botanライブラリをバージョン3.11.1以降にアップデートすることで、脆弱性を軽減してください。このアップデートは、最終エンティティ証明書を信頼されたルート証明書として受け入れることを可能にする証明書検証のバグを修正します。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-34580は、Botan 3.11.0における証明書検証の不備により発生する認証バイパスの脆弱性です。攻撃者は不正な証明書を提示し、認証を回避する可能性があります。
Botan 3.11.0を使用している場合は、脆弱性の影響を受ける可能性があります。バージョン3.11.1へのアップデートを推奨します。
Botanライブラリをバージョン3.11.1にアップデートしてください。アップデートがすぐに利用できない場合は、証明書検証のロジックを強化することを検討してください。
現時点では、公開されているPoCは確認されていませんが、認証バイパスの脆弱性は悪用される可能性が高いため、注意が必要です。
Botanプロジェクトの公式ウェブサイトまたはセキュリティアナウンスメントを参照してください。