Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je zasielaním CMS správ umožnené spôsobiť neoprávnený prístup za hranicu alokovanej pamäte, čo môže spôsobiť DoS útok, neoprávnený prístup k údajom a potenciálne aj vykonávanie kódu. Pre zneužitie zraniteľnosti je potrebné, aby sa použilo šifrovanie závislé od hesla (PWRI), ktorého použitie je veľmi zriedkavé.

Zraniteľnosť sa nachádza v produkte:

• OpenSSL; >=1.0.2, <1.0.2zm; >=1.1.1, <1.1.1zd; >=3.0, <3.0.18; >=3.2, <3.2.6; >=3.3, <3.3.5; >=3.4, <3.4.3; >=3.5, <3.5.4;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2025-9230 na cve.org, NVD
• CWE-125: Out-of-bounds Read na cwe.mitre.org
• CWE-787: Out-of-bounds Write na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 30. 9. 2025.

Neautentizovanému vzdialenému útočníkovi je umožnené zneužiť časový postranný kanál a potenciálne tak získať súkromný kľuč obete. Zneužitie zraniteľnosti je možné iba na 64 bitovej ARM platforme s využitím SM2 algoritmu, ktorý OpenSSL natívne nepodporuje [1].

Zraniteľnosť sa nachádza v produkte:

• OpenSSL; >=3.2, <3.2.6; >=3.3, <3.3.5; >=3.4, <3.4.3; >=3.5, <3.5.4;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

Viac informácií:

• CVE-2025-9231 na cve.org, NVD
• CWE-385: Covert Timing Channel na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 30. 9. 2025.

Neautentizovanému vzdialenému útočníkovi je v HTTP API s pomocou sociálneho inžinierstva umožnené čítať za hranicou alokovanej pamäte, čo môže viesť k DoS útoku. Pre zneužitie zraniteľnosti je potrebné, aby bola nastavená premenná prostredia "no_proxy", a aby v autoritatívnej hostiteľskej časti URL bola použitá IPv6 adresa [1].

Zraniteľnosť sa nachádza v produkte:

• OpenSSL; >=3.0, <3.0.18; >=3.2, <3.2.6; >=3.3, <3.3.5; >=3.4, <3.4.3; >=3.5, <3.5.4;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2025-9232 na cve.org, NVD
• CWE-125: Out-of-bounds Read na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 30. 9. 2025.