---
title: "glib-networking の TLS 1.3 セッションチケット無制限保持でメモリ枯渇（CVE-2026-103963）: 上限 32 件の修正がマージ済み"
url: https://n-t-p.io/worldsecurity/articles/glib-networking-tls13-session-ticket-cache-unbounded-memory-dos-cwe-400-cve-2026-103963
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月1日
updated: 2026年11月1日
severity: 中
cve: CVE-2026-103963
---

# glib-networking の TLS 1.3 セッションチケット無制限保持でメモリ枯渇（CVE-2026-103963）: 上限 32 件の修正がマージ済み

> **TL;DR:** GNOME の glib-networking が TLS 1.3 のセッションチケットを上限なしで保持し、悪意のあるサーバーに接続したクライアントのメモリが枯渇してサービス拒否になる（CVE-2026-103963、CWE-400）。上限 32 件の修正 MR !288 は 9/28 にマージ済みで、2.90.1（10/23）に含まれる。CVSS v3.1 は 7.5（Red Hat）、EPSS 0.34%、KEV なし。

**要点**
- glib-networking の TLS 1.3 クライアントが、1 ホストのセッションチケットを無制限に保持する（CWE-400）
- 悪意のあるサーバーがチケットを送り続けるとクライアントのメモリが増え続け、枯渇して DoS になる。影響は可用性のみ
- 修正 MR !288 はセッション ID ごとに 32 件へ制限（2026-09-28 マージ）。2.90.1 に含まれることを確認
- CVSS v3.1 は 7.5（Red Hat の値）。NVD の状態は Awaiting Analysis。EPSS 0.34%、KEV なし。RHEL 9・10 は影響あり
- 実際の悪用、2.90.1 より前の影響版の範囲、各ディストリビューションの修正版は未確認

NVD は 2026-10-30（05:16 UTC）に、GNOME の通信ライブラリ glib-networking の CVE-2026-103963 を登録しました。説明によると、TLS 1.3 で接続するとき、クライアント側のセッションキャッシュが 1 つのホストについて保持するセッションチケットの数を制限していません。悪意のあるサーバーが大量のチケットを送り続けると、クライアントのアプリケーションのメモリが増え続け、枯渇してサービス拒否（DoS）になります。登録元（CNA）は Red Hat で、NVD の状態は「Awaiting Analysis」です。

## 何が起きるか

- 対象は glib-networking の TLS 1.3 のクライアント側です。GLib の通信 API（GIO）経由で HTTPS などに接続するアプリ（GNOME 系のアプリ、libsoup を使うアプリなど）が使う部分です。
- TLS 1.3 のサーバーは、同じセッションに対して複数のセッションチケットを発行できます。修正前は、これを上限なしでセッションごとのキューに追加していました（修正 MR の説明）。
- 悪意のあるサーバーに接続すると、チケットを送り続けられてメモリが増え続けます。キャッシュの存続中は解放されません。
- 影響は可用性のみです。情報の漏えいや改ざんは CVSS の評価に含まれていません。

## 修正の内容

- GNOME の glib-networking の MR !288「tls: bound TLS 1.3 session ticket cache」は、キャッシュするチケットを 1 つのセッション ID につき 32 件までに制限します。上限に達したら最も古いチケットを破棄して新しいものを保存します。上限を超えた場合の回帰テストも含まれます。
- この MR は 2026-09-28 にマージ済みです（GitLab の API で確認）。
- 2.90.1（2026-10-23）に修正が入っています。上流リポジトリで、修正コミット（2026-09-28）が 2.90.1 タグに含まれることを照合し、2.90.1 の NEWS にも CVE-2026-103963 が修正済みとして載っていることを確認しました。

## 数値と出典（2026-11-01 時点）

| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-103963（CWE-400 リソースの無制御な消費） |
| 影響 | glib-networking の TLS 1.3 クライアント。具体的な影響版は NVD に記載なし |
| 修正 | MR !288（2026-09-28 マージ）。2.90.1（2026-10-23）に含まれることを確認 |
| CVSS v3.1 | 7.5（High、AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H）。Red Hat（CNA）の値で、NVD 自身の評価はなし |
| 状態 | NVD の状態は「Awaiting Analysis」 |
| Red Hat の評価 | 脅威度は Important。RHEL 9・10 は影響あり（修正待ち）、RHEL 6・7・8 は影響なし。有効な回避策は提示されていない |
| EPSS | 0.34%（パーセンタイル 27.4%、2026-10-31、FIRST） |
| KEV | 掲載なし（CISA の JSON で確認） |

## severity を medium とした理由

CVSS は 7.5 ですが、影響は可用性だけで、クライアントが悪意のあるサーバーに接続したときに限られます。EPSS は低く、KEV にも載っていません。一方で、ネットワークから認証なしで成立し、長時間動くクライアントや常駐サービスでは、メモリ枯渇で停止する恐れがあります。そのため medium としました。

## 対応として考えられること

1. ディストリビューションの更新情報を確認し、glib-networking の修正版が出たら適用します。RHEL 9・10 は Red Hat が影響ありとしており、修正の提供を待つ状態です。
2. 信頼できない TLS 1.3 サーバーへ接続する常駐アプリは、メモリ使用量の監視と上限（cgroup など）を設けておくと被害を抑えられます（本記事の推定。公式な回避策は未提示）。
3. 自前で glib-networking をビルドしている場合は、上流の 2.90.1 以降を使います。

## 未確認の点

- 実際の悪用は確認していません。攻撃の具体的な手順は本記事には載せません。
- 影響を受ける版の範囲は NVD に記載がなく、2.90.1 より前のどこまでが対象かは未確認です。ディストリビューションが修正を取り込んだ版も未確認です。
- CVSS は Red Hat（CNA）の v3.1 の値のみで、NVD 自身の評価は確認できていません。Red Hat のデータでは CVSS の状態が「draft」です。
- 日付は NVD の登録（2026-10-30 05:16 UTC）、Red Hat の公開日（2026-10-29）、GitLab の公開情報に基づきます。


## 出典
- [NVD CVE-2026-103963](https://nvd.nist.gov/vuln/detail/CVE-2026-103963) — NIST NVD
- [Red Hat CVE-2026-103963](https://access.redhat.com/security/cve/CVE-2026-103963) — Red Hat
- [Red Hat Bugzilla 2465656](https://bugzilla.redhat.com/show_bug.cgi?id=2465656) — Red Hat
- [glib-networking 修正 MR !288](https://gitlab.gnome.org/GNOME/glib-networking/-/merge_requests/288) — GNOME GitLab
- [FIRST EPSS CVE-2026-103963](https://api.first.org/data/v1/epss?cve=CVE-2026-103963) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/glib-networking-tls13-session-ticket-cache-unbounded-memory-dos-cwe-400-cve-2026-103963