因此，它會受到 ALAS2023-2026-1522 公告中提及的一個弱點影響。

    問題摘要當 OpenSSL TLS 1.3 伺服器的金鑰交換群組組態包含使用「DEFAULT」關鍵字的預設值時其可能無法交涉預期的偏好金鑰交換群組。影響摘要：如果用戶端的初始述詞金鑰共用中未包含偏好較高的群組，則即使用戶端和伺服器皆支援偏好較低的金鑰交換，也可能會使用該群組。如果用戶端選擇延遲使用，直到伺服器特別要求時，新的混合 post-quantum 群組有時會發生此情況。如果 OpenSSL TLS 1.3 伺服器的組態使用「DEFAULT」關鍵字將內建的預設群組清單插入其本身的組態，可能會新增或移除特定元素，則實作缺陷會造成「DEFAULT」清單遺失其「tuple」結構，且所有伺服器支援的群組都被視為一個足夠安全的「tuple」，因此即使在更偏好的 tuple 中的群組受到相互支援，伺服器也不會傳送 Hello Retry Request (HRR)。因此，如果用戶端的組態只產生「classical」群組 (例如「X25519」是用戶端的初始 keyshare 預測中唯一的群組)，則用戶端和伺服器可能無法交涉相互支援的 post-quantum 金鑰協議群組，例如「X25519MLKEM768」。
    OpenSSL 3.5 和更新版本支援用於選取 TLS 伺服器上最偏好的 TLS 1.3 金鑰協議群組的新語法。舊語法具有單一「flat」群組清單，並將所有受支援的群組視為足夠安全。如果用戶端預測的任何 keyshare 受到伺服器支援，則即使用戶端支援但未包含在預測 keyshare 清單中的其他群組 (若包含) 具有更高優先級，伺服器仍會選取其中優先級最高的一個群組。新語法會將群組分割為安全性大致相同的不同「元組」。在每個元組內，會選擇用戶端預測 keyshare 中包含的優先級最高的群組，但如果用戶端支援來自較偏好元組的群組，但並未預測任何對應的 keyshare，則伺服器會要求用戶端重試 ClientHello (透過發出 Hello Retry Request (HRR)) 與優先級最高的相互支援的群組。當伺服器的組態使用內建的預設群組清單，或透過直接定義各種所需的群組和群組「元組」來明確定義自己的清單時，上述項目可如預期運作。沒有 OpenSSL FIPS 模組受到此問題影響，因為有問題的程式碼位於 FIPS 邊界之外。
    OpenSSL 3.6 至 3.5 受此問題影響。OpenSSL 3.6 使用者應在 OpenSSL 3.6.2 發行後升級至該版本。OpenSSL 3.5 使用者應在 OpenSSL 3.5.6 發行後升級至該版本。OpenSSL 3.4、3.3、3.0、1.0.2 和 1.1.1 不會受到此問題影響。(CVE-2026-2673)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12/13 主機上安裝的多個套件受到 dsa-6201 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian 安全公告 DSA-6201-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 4 月 7 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：openssl CVE ID：CVE-2026-2673 CVE-2026-28387 CVE-2026-28388 CVE-2026-28389 CVE-2026-28390 CVE-2026-31789 CVE-2026-31790 Debian 錯誤：1130650

    在安全通訊端層工具組 OpenSSL 中發現多個弱點，這些弱點可能導致拒絕服務、資訊洩漏，也可能造成遠端程式碼執行。

    如需詳細資訊，請參閱上游公告：
    https://openssl-library.org/news/secadv/20260407.txt

    針對舊穩定的發行版本 (bookworm)，已在 3.0.19-1~deb12u2 版本中修復這些問題。

    針對穩定的發行版本 (trixie)，已在 3.5.5-1~deb13u2 版本中修復這些問題。

    建議您升級 openssl 套件。

    如需有關 openssl 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/openssl

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 OpenSSL 為 3.5.6 之前版本。因此，會受到 3.5.6 公告中所提及的多個弱點影響。

  - 問題摘要：OpenSSL TLS 1.3 伺服器在其金鑰交換群組組態包含使用「DEFAULT」關鍵字的預設值時，可能無法交涉預期的偏好金鑰交換群組。影響摘要：如果用戶端的初始述詞金鑰共用中未包含偏好較高的群組，則即使用戶端和伺服器皆支援偏好較低的金鑰交換，也可能會使用該群組。如果用戶端選擇延遲使用，直到伺服器特別要求時，新的混合 post-quantum 群組有時會發生此情況。如果 OpenSSL TLS 1.3 伺服器的組態使用「DEFAULT」關鍵字將內建的預設群組清單插入其本身的組態，可能會新增或移除特定元素，則實作缺陷會造成「DEFAULT」清單遺失其「tuple」結構，且所有伺服器支援的群組都被視為一個足夠安全的「tuple」，因此即使在更偏好的 tuple 中的群組受到相互支援，伺服器也不會傳送 Hello Retry Request (HRR)。因此，如果用戶端的組態只產生「classical」群組 (例如「X25519」是用戶端的初始 keyshare 預測中唯一的群組)，則用戶端和伺服器可能無法交涉相互支援的 post-quantum 金鑰協議群組，例如「X25519MLKEM768」。
    OpenSSL 3.5 和更新版本支援用於選取 TLS 伺服器上最偏好的 TLS 1.3 金鑰協議群組的新語法。舊語法具有單一「flat」群組清單，並將所有受支援的群組視為足夠安全。如果用戶端預測的任何 keyshare 受到伺服器支援，則即使用戶端支援但未包含在預測 keyshare 清單中的其他群組 (若包含) 具有更高優先級，伺服器仍會選取其中優先級最高的一個群組。新語法會將群組分割為安全性大致相同的不同「元組」。在每個元組內，會選擇用戶端預測 keyshare 中包含的優先級最高的群組，但如果用戶端支援來自較偏好元組的群組，但並未預測任何對應的 keyshare，則伺服器會要求用戶端重試 ClientHello (透過發出 Hello Retry Request (HRR)) 與優先級最高的相互支援的群組。當伺服器的組態使用內建的預設群組清單，或透過直接定義各種所需的群組和群組「元組」來明確定義自己的清單時，上述項目可如預期運作。沒有 OpenSSL FIPS 模組受到此問題影響，因為有問題的程式碼位於 FIPS 邊界之外。
    OpenSSL 3.6 至 3.5 受此問題影響。OpenSSL 3.6 使用者應在 OpenSSL 3.6.2 發行後升級至該版本。OpenSSL 3.5 使用者應在 OpenSSL 3.5.6 發行後升級至該版本。OpenSSL 3.4、3.3、3.0、1.0.2 和 1.1.1 不會受到此問題影響。(CVE-2026-2673)

  - 問題摘要：使用 RSASVE 金鑰封裝來建立私密加密金鑰的應用程式可將未初始化記憶體緩衝區中的內容傳送至惡意對等端。影響摘要：未初始化的緩衝區可能含有先前執行應用程式處理程序時產生的敏感資料，從而導致敏感資料洩漏給攻擊者。RSA_public_encrypt() 函式會在執行成功時傳回寫入的位元組數，錯誤時則會傳回 -1。受影響的程式碼只會測試傳回值是否為非零。因此，如果 RSA 加密失敗，封裝函式仍可向呼叫者傳回成功狀態、設定輸出長度，並讓呼叫者使用加密文字緩衝區的內容，就像已經產生有效的 KEM 加密文字一樣。如果應用程式在使用 RSA/RSASVE 呼叫 EVP_PKEY_encapsulate() 時，使用了攻擊者提供的無效 RSA 公開金鑰且未先對其進行驗證，這可能會導致系統將呼叫者提供的加密文字緩衝區中過時或未初始化的內容洩漏給攻擊者，以取代 KEM 加密文字。在呼叫 EVP_PKEY_encapsulate() 之前呼叫 EVP_PKEY_public_check() 或 EVP_PKEY_public_check_quick()，此因應措施可減輕此問題。3.6、3.5、3.4、3.3、3.1 和 3.0 中的 FIPS 模組不受此問題影響。
    已在 OpenSSL 3.0.20 版中修正此問題 (受影響的是 3.0.0 和之後版本)。(CVE-2026-31790)

  - 問題摘要：將過大的 OCTET STRING 值轉換為十六進位字串，會導致在 32 位元平台上發生堆積緩衝區溢位。影響摘要：堆積緩衝區溢位可能導致當機，或可能導致攻擊者控製程式碼執行或其他未定義的行為。如果攻擊者可以在主體金鑰識別碼 (SKID) 或授權金鑰識別碼 (AKID) 等要轉換為十六進位的延伸模組中，提供具有過大 OCTET STRING 值的特製 X.509 憑證，則以輸入長度乘以 3，來計算結果所需的緩衝區大小。在 32 位元平台上，此乘法可能會導致溢位，進而導致較小的緩衝區配置和堆積緩衝區溢位。列印或記錄未受信任之 X.509 憑證內容的應用程式和服務容易受此問題影響。由於憑證的大小必須超過 1 GB，因此不太可能執行列印或記錄此類憑證的作業，並且只有 32 位元平台受到影響，因此此問題的嚴重性被劃分為「低」。3.6、3.5、3.4、3.3 和 3.0 中的 FIPS 模組不受此問題影響，因為受影響程式碼位於 OpenSSL FIPS 模組邊界之外。已在 OpenSSL 3.0.20 版中修正此問題 (受影響的是 3.0.0 和之後版本)。(CVE-2026-31789)

  - 問題摘要：在處理含有 KeyTransportRecipientInfo 的特製 CMS EnvelopedData 訊息期間，可能會發生 NULL 指標解除參照。影響摘要：處理由攻擊者控制的 CMS 資料的應用程式可能在驗證或密碼編譯作業發生之前損毀，從而導致拒絕服務。
    以 RSA-OAEP 加密處理使用 KeyTransportRecipientInfo 的 CMS EnvelopedData 訊息時，系統會在未檢查其是否存在的情況下，檢查 RSA-OAEP SourceFunc 演算法識別碼的選用參數欄位。如有欄位遺漏，將會導致 NULL 指標解除參照。
    在不受信任的輸入 (例如 S/MIME 處理或 CMS 型通訊協定) 上呼叫 CMS_decrypt() 的應用程式和服務容易受到影響。3.6、3.5、3.4、3.3 和 3.0 中的 FIPS 模組不受此問題影響，因為受影響程式碼位於 OpenSSL FIPS 模組邊界之外。已在 OpenSSL 1.1.1zg 版中修正此問題 (受影響的是  1.1.1 和之後版本)。(CVE-2026-28390)

  - 問題摘要：在處理含有 KeyAgreeRecipientInfo 的特製 CMS EnvelopedData 訊息期間，可能會發生 NULL 指標解除參照。影響摘要：處理由攻擊者控制的 CMS 資料的應用程式可能在驗證或密碼編譯作業發生之前損毀，從而導致拒絕服務。處理使用 KeyAgreeRecipientInfo 的 CMS EnvelopedData 訊息時，系統會在未檢查其是否存在的情況下，檢查 KeyEncryptionAlgorithmIdentifier 演算法識別碼的選用參數欄位。如有欄位遺漏，將會導致 NULL 指標解除參照。在不受信任的輸入 (例如 S/MIME 處理或 CMS 型通訊協定) 上呼叫 CMS_decrypt() 的應用程式和服務容易受到影響。3.6、3.5、3.4、3.3 和 3.0 中的 FIPS 模組不受此問題影響，因為受影響程式碼位於 OpenSSL FIPS 模組邊界之外。已在 OpenSSL 1.1.1zg 版中修正此問題 (受影響的是  1.1.1 和之後版本)。(CVE-2026-28389)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 OpenSSL 為 3.6.2 之前版本。因此，會受到 3.6.2 公告中所提及的多個弱點影響。

  - 問題摘要：OpenSSL TLS 1.3 伺服器在其金鑰交換群組組態包含使用「DEFAULT」關鍵字的預設值時，可能無法交涉預期的偏好金鑰交換群組。影響摘要：如果用戶端的初始述詞金鑰共用中未包含偏好較高的群組，則即使用戶端和伺服器皆支援偏好較低的金鑰交換，也可能會使用該群組。如果用戶端選擇延遲使用，直到伺服器特別要求時，新的混合 post-quantum 群組有時會發生此情況。如果 OpenSSL TLS 1.3 伺服器的組態使用「DEFAULT」關鍵字將內建的預設群組清單插入其本身的組態，可能會新增或移除特定元素，則實作缺陷會造成「DEFAULT」清單遺失其「tuple」結構，且所有伺服器支援的群組都被視為一個足夠安全的「tuple」，因此即使在更偏好的 tuple 中的群組受到相互支援，伺服器也不會傳送 Hello Retry Request (HRR)。因此，如果用戶端的組態只產生「classical」群組 (例如「X25519」是用戶端的初始 keyshare 預測中唯一的群組)，則用戶端和伺服器可能無法交涉相互支援的 post-quantum 金鑰協議群組，例如「X25519MLKEM768」。
    OpenSSL 3.5 和更新版本支援用於選取 TLS 伺服器上最偏好的 TLS 1.3 金鑰協議群組的新語法。舊語法具有單一「flat」群組清單，並將所有受支援的群組視為足夠安全。如果用戶端預測的任何 keyshare 受到伺服器支援，則即使用戶端支援但未包含在預測 keyshare 清單中的其他群組 (若包含) 具有更高優先級，伺服器仍會選取其中優先級最高的一個群組。新語法會將群組分割為安全性大致相同的不同「元組」。在每個元組內，會選擇用戶端預測 keyshare 中包含的優先級最高的群組，但如果用戶端支援來自較偏好元組的群組，但並未預測任何對應的 keyshare，則伺服器會要求用戶端重試 ClientHello (透過發出 Hello Retry Request (HRR)) 與優先級最高的相互支援的群組。當伺服器的組態使用內建的預設群組清單，或透過直接定義各種所需的群組和群組「元組」來明確定義自己的清單時，上述項目可如預期運作。沒有 OpenSSL FIPS 模組受到此問題影響，因為有問題的程式碼位於 FIPS 邊界之外。
    OpenSSL 3.6 至 3.5 受此問題影響。OpenSSL 3.6 使用者應在 OpenSSL 3.6.2 發行後升級至該版本。OpenSSL 3.5 使用者應在 OpenSSL 3.5.6 發行後升級至該版本。OpenSSL 3.4、 3.3、 3.0、 1.0.2 和 1.1.1 不受此問題影響。 (CVE-2026-2673)

  - Debian Linux - openssl - 無 Red Hat Enterprise Linux - openssl透過無效 RSA 公開金鑰從未初始化的記憶體洩漏資訊 (CVE-2026-31790)

  - Debian Linux - openssl - 無 (CVE-2026-28389, CVE-2026-28390, CVE-2026-31789)

  - 問題摘要處理包含 Delta CRL 指標延伸的 delta CRL 時如果缺少必要的 CRL 編號延伸可能會發生 NULL 指標解除參照。影響摘要NULL 指標解除參照可觸發損毀進而導致應用程式拒絕服務。在 X.509 憑證驗證期間啟用 CRL 處理和 delta CRL 處理時delta CRL 處理在解除參照 CRL 號碼延伸模組之前不會先檢查其是否為 NULL。處理格式錯誤的 delta CRL 檔案時此參數可能為 NULL進而造成 NULL 指標解除參照。惡意利用此問題需要在驗證內容中啟用 X509_V_FLAG_USE_DELTAS 旗標、要驗證包含 freshestCRL 延伸模組或基礎 CRL 的憑證必須設定 EXFLAG_FRESHEST 旗標以及攻擊者提供格式錯誤的 CRL 給處理它的應用程式。此弱點僅會導致程式拒絕服務，不會造成程式碼執行攻擊或記憶體洩漏。因此，根據我們的安全性原則，將此問題的嚴重性評估為「低危」。 3.6、 3.5、 3.4、 3.3 和 3.0 中的 FIPS 模組不受此問題影響因為受影響的程式碼超出 OpenSSL FIPS 模組邊界。已在 OpenSSL 3.6.2 版中修正此問題 (受影響的是 3.6.0 和之後版本)。
    (CVE-2026-28388)

  - 問題摘要執行 DANE TLSA 型伺服器驗證的用戶端有一個不常見的組態當與不常見的伺服器 DANE TLSA 記錄配對時可能會在用戶端上造成釋放後使用和/或重複釋放。影響摘要：釋放後使用可能會造成一系列潛在後果，例如有效資料損毀、當機或任意程式碼執行。不過該問題只會影響同時使用 PKIX-TA(0/PKIX-EE(1) 憑證和 DANE-TA(2) 憑證使用 TLSA 記錄的用戶端。到目前為止最常見的 DANE 部署是在 SMTP MTA 中其中 RFC7672 建議用戶端將具有 PKIX 憑證使用量的任何 TLSA 記錄視為「無法使用」。這些 SMTP (或其他類似) 用戶端不受此問題影響。相反地任何僅支援 PKIX 使用方式而忽略 DANE-TA(2) 使用方式的用戶端也不受影響。用戶端也必須與發布具有這兩種 TLSA 記錄類型之 TLSA RRset 的伺服器通訊。此問題不影響任何 FIPS 模組問題程式碼超出 FIPS 模組邊界。已在 OpenSSL 3.6.2 版中修正此問題 (受影響的是 3.6.0 和之後版本)。(CVE-2026-28387)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 問題摘要當 OpenSSL TLS 1.3 伺服器的金鑰交換群組組態包含使用「DEFAULT」關鍵字的預設值時其可能無法交涉預期的偏好金鑰交換群組。影響摘要如果用戶端的初始述詞金鑰共用中不包含較偏好的金鑰群組即使用戶端和伺服器支援偏好較弱的金鑰交換該群組也可能使用該群組。如果用戶端選擇將其使用延遲到伺服器特別要求時新的 Hybrid post-quantum 群組有時會發生此情況。如果 OpenSSL TLS 1.3 伺服器的組態使用「DEFAULT」關鍵字將內建預設群組清單插入其自身的組態(可能會新增或移除特定元素)則實作缺失會造成「DEFAULT」清單遺失其「tuple ' 結構且所有伺服器支援的群組都被視為一個足夠安全的「tuple」而伺服器不會傳送 Hello Retry Request (HRR)即使在更偏好的 tuple 中的群組是相互支援的時候伺服器也不會傳送 Hello Retry Request (HRR)。因此如果用戶端的組態只產生「傳統」群組 (例如只有「X25519」群組則用戶端和伺服器可能無法交涉相互支援的 post-quantum 金鑰協議群組例如「X25519MLKEM768」用戶端的初始 keyshare 預測中)。
    OpenSSL 3.5 和更新版本支援用於選取 TLS 伺服器上最偏好的 TLS 1.3 金鑰協議群組的新語法。舊語法具有單一「平面」群組清單並將所有支援的群組視為足夠安全。如果伺服器支援用戶端預測的任何 keyshare即使有其他群組受用戶端支援但未包含在預測的 keyshare 清單中仍會選取其中最偏好的群組 (若包含)其會優先選用。新語法會將群組分割為安全性大致相同的不同「元組」。在每個 tuple 內會選擇用戶端預測 keyshare 中包含的最偏好群組但是如果用戶端支援來自較偏好 tuple 的群組但並未預測任何對應的 keyshare則伺服器會要求用戶端重試 ClientHello (藉由發出Hello Retry Request (HRR) 具有最偏好的相互支援群組。當伺服器的組態使用內建的預設群組清單時上述項目可如預期運作或透過直接定義各種所需的群組和群組「tuples」來明確定義自己的清單。此問題不影響 OpenSSL FIPS 模組有問題的程式碼位於 FIPS 邊界之外。
    OpenSSL 3.6 至 3.5 受此問題影響。OpenSSL 3.6 使用者應在 OpenSSL 3.6.2 發行後升級至該版本。OpenSSL 3.5 使用者應在 OpenSSL 3.5.6 發行後升級至該版本。OpenSSL 3.4、 3.3、 3.0、 1.0.2 和 1.1.1 不受此問題影響。 (CVE-2026-2673)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端 Ubuntu 22.04 LTS/24.04 LTS/25.10 主機上安裝的套件受到 USN-8155-1 公告中所提及的多個弱點影響。

    Viktor Dukhovni 發現，作為 TLS 1.3 伺服器使用時，OpenSSL 未正確交涉預期的偏好金鑰交換群組。這會導致使用偏好較低的金鑰交換，這與預期行為相反。此問題只會影響 Ubuntu 25.10。(CVE-2026-2673)

    Igor Morgenstern 發現，當作為 DANE 用戶端使用時，OpenSSL 未正確處理某些記憶體作業。遠端攻擊者可利用此問題造成 OpenSSL 當機，進而引發拒絕服務或可能執行任意程式碼。(CVE-2026-28387)

    Igor Morgenstern 發現，當處理 delta CRL 時，OpenSSL 未正確處理某些記憶體作業。遠端攻擊者可能利用此問題造成 OpenSSL 損毀，從而導致拒絕服務。(CVE-2026-28388)

    Nathan Gamesman、Daniel Rhea 和 Jaeho Nam 發現，OpenSSL 在處理內含 KeyAgreeRecipientInfo 的特製 CMS EnvelopedData 訊息時，未正確處理某些記憶體作業。遠端攻擊者可能利用此問題造成 OpenSSL 損毀，從而導致拒絕服務。
    (CVE-2026-28389)

    Muhammad Daffa、Joshua Rogers 和 Chanho Kim 發現，OpenSSL 未正確處理含有 KeyTransportRecipientInfo 的特製 CMS EnvelopedData 訊息。遠端攻擊者可能利用此問題造成 OpenSSL 損毀，從而導致拒絕服務。(CVE-2026-28390)

    Quoc Tran 發現，OpenSSL 未正確處理 32 位元平台上的十六進位轉換。遠端攻擊者可利用此問題造成 OpenSSL 當機，進而引發拒絕服務或可能執行任意程式碼。(CVE-2026-31789)

    Simo Sorce 發現，OpenSSL 未正確處理 RSA KEM RSASVE 封裝中的故障。遠端攻擊者可能利用此問題取得敏感資訊。(CVE-2026-31790)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
304598	Amazon Linux 2023：openssl、openssl-devel、openssl-fips-provider-latest (ALAS2023-2026-1522)	Nessus	Amazon Linux Local Security Checks	2026/4/1	2026/4/10	high
307675	Debian dsa-6201：libcrypto3-udeb - 安全性更新	Nessus	Debian Local Security Checks	2026/4/21	2026/4/27	critical
302500	OpenSSL 3.5.0 < 3.5.6 多個弱點	Nessus	Web Servers	2026/3/16	2026/4/14	high
302501	OpenSSL 3.6.0 < 3.6.2 多個弱點	Nessus	Web Servers	2026/3/16	2026/4/14	critical
302195	Linux Distros 未修補的弱點：CVE-2026-2673	Nessus	Misc.	2026/3/13	2026/4/19	high
306090	Ubuntu 22.04 LTS / 24.04 LTS / 25.10：OpenSSL 弱點 (USN-8155-1)	Nessus	Ubuntu Local Security Checks	2026/4/13	2026/4/27	critical

偵測

搜尋 Plugin

high

critical

high

critical

high

critical