L’iniziativa OpenSSL ha reso noto un bollettino di sicurezza in cui sono state trattate tre vulnerabilità, che potrebbero permettere a malintenzionati di attivare codice da remoto e, potenzialmente, di estrarre chiavi private di crittografia.

Questi difetti interessano più versioni di OpenSSL su diverse piattaforme e potrebbero causare danneggiamento della memoria, attacchi di negazione del servizio e accesso non autorizzato a materiali crittografici sensibili.

La vulnerabilità più grave del bollettino di OpenSSL riguarda le operazioni di memoria fuori dai limiti nella funzionalità di unwrap della chiave di crittografia della chiave (KEK) RFC 3211, tracciata come CVE-2025-9230 con gravità moderata.

Per una correzione immediata è necessario aggiornare alle versioni corrette: OpenSSL 3.5.4, 3.4.3, 3.3.5, 3.2.6, 3.0.18, 1.1.1zd (supporto premium) e 1.0.2zm (supporto premium).

La prima vulnerabilità, CVE-2025-9230, colpisce le versioni 3.5, 3.4, 3.3, 3.2, 3.0, 1.1.1 e 1.0.2 di OpenSSL tramite una gestione impropria della decrittazione dei messaggi CMS. Quando le applicazioni elaborano messaggi CMS crittografati basati su password creati in modo dannoso, la vulnerabilità attiva operazioni di accesso alla memoria fuori dai limiti .

Questa falla si verifica quando le applicazioni tentano di decrittografare i messaggi Cryptographic Message Syntax (CMS) utilizzando la crittografia basata su password (PWRI). La vulnerabilità innesca operazioni di lettura e scrittura fuori dai limiti, con conseguente potenziale danneggiamento della memoria che gli aggressori potrebbero sfruttare per eseguire codice arbitrario o causare arresti anomali del sistema.

I ricercatori di sicurezza di Aisle Research, guidati da Stanislav Fort, hanno scoperto questa vulnerabilità il 9 agosto 2025. L’exploit richiede condizioni specifiche, tra cui l’utilizzo della crittografia basata su password nei messaggi CMS, il che limita la superficie di attacco poiché il supporto della crittografia PWRI è raramente implementato negli ambienti di produzione. Tuttavia, uno sfruttamento riuscito potrebbe compromettere completamente il sistema tramite l’esecuzione di codice in modalità remota.

La seconda falla critica, CVE-2025-9231, introduce una vulnerabilità di tipo timing side-channel nell’implementazione dell’algoritmo crittografico SM2 sulle piattaforme ARM a 64 bit. Secondo l’ avviso di OpenSSL , questa vulnerabilità consente ad aggressori remoti di recuperare chiavi private tramite l’analisi temporale delle operazioni di calcolo della firma.

Inoltre, il CVE-2025-9232 coinvolge operazioni di lettura fuori limite nella gestione no_proxy del client HTTP per gli indirizzi IPv6, sebbene ciò presenti un rischio minore con solo un impatto di negazione del servizio .

L'articolo OpenSSL, tre vulnerabilità scoperte, aggiornamenti urgenti necessari proviene da il blog della sicurezza informatica.