Zpětná vazba k reportu

Neautentizovanému vzdálenému útočníkovi je zasíláním CMS zpráv umožněno způsobit neoprávněný přístup za hranici alokované paměti, což může způsobit DoS útok, neoprávněný přístup k datům a potenciálně i vykonávání kódu. Pro zneužití zranitelnosti je nutné, aby bylo použito šifrování závislé na hesle (PWRI), jehož použití je velmi vzácné.

Zranitelnost se nachází v produktu:

• OpenSSL; >=1.0.2, <1.0.2zm; >=1.1.1, <1.1.1zd; >=3.0, <3.0.18; >=3.2, <3.2.6; >=3.3, <3.3.5; >=3.4, <3.4.3; >=3.5, <3.5.4;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Více informací:

• CVE-2025-9230 na cve.org, NVD
• CWE-125: Out-of-bounds Read na cwe.mitre.org
• CWE-787: Out-of-bounds Write na cwe.mitre.org

Zranitelnost byla veřejně oznámena 30. 9. 2025.

Neautentizovanému vzdálenému útočníkovi je umožněno zneužít časový postranní kanál a potenciálně tak získat soukromý klíč oběti. Zneužití zranitelnosti je možné pouze na 64bitové ARM platformě s využitím algoritmu SM2, který OpenSSL nativně nepodporuje [1].

Zranitelnost se nachází v produktu:

• OpenSSL; >=3.2, <3.2.6; >=3.3, <3.3.5; >=3.4, <3.4.3; >=3.5, <3.5.4;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

Více informací:

• CVE-2025-9231 na cve.org, NVD
• CWE-385: Covert Timing Channel na cwe.mitre.org

Zranitelnost byla veřejně oznámena 30. 9. 2025.

Neautentizovanému vzdálenému útočníkovi je v HTTP API s pomocí sociálního inženýrství umožněno číst za hranicí alokované paměti, což může vést k DoS útoku. Pro zneužití zranitelnosti je nutné, aby byla nastavena proměnná prostředí "no_proxy" a aby v autoritativní hostitelské části URL byla použita IPv6 adresa [1].

Zranitelnost se nachází v produktu:

• OpenSSL; >=3.0, <3.0.18; >=3.2, <3.2.6; >=3.3, <3.3.5; >=3.4, <3.4.3; >=3.5, <3.5.4;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H

Více informací:

• CVE-2025-9232 na cve.org, NVD
• CWE-125: Out-of-bounds Read na cwe.mitre.org

Zranitelnost byla veřejně oznámena 30. 9. 2025.