Разработчики OpenSSL объявили о выпуске нескольких новых версий опенсорсного SSL/TLS-тулкита, в которых исправлены сразу три уязвимости.
В OpenSSL версий 3.5.4, 3.4.3, 3.3.5, 3.2.6, 3.0.18, 1.0.2zm и 1.1.1zd были устранены уязвимости CVE-2025-9230, CVE-2025-9231 и CVE-2025-9232.
Две из этих проблем относятся к уязвимостям средней серьезности, а еще одна (CVE-2025-9231), позволяет атакующему восстановить приватный ключ. Так как OpenSSL используется множеством приложений, сайтов и сервисов для защиты коммуникаций, получивший такой ключ злоумышленник получит возможность расшифровать зашифрованный трафик или осуществить MitM-атаку.
Однако разработчики OpenSSL подчеркивают, что CVE-2025-9231 затрагивает только имплементацию алгоритма SM2 на 64-битных ARM-платформах.
«OpenSSL напрямую не поддерживает сертификаты с SM2-ключами в TLS, поэтому эта уязвимость не актуальна в большинстве TLS-контекстов, — объясняют эксперты. — Однако, учитывая возможность добавить поддержку таких сертификатов через кастомного провайдера, а также тот факт, что в этом контексте приватный ключ может быть восстановлен посредством удаленного измерения времени, мы оцениваем эту проблему как уязвимость средней серьезности».
В свою очередь CVE-2025-9230 описывается как проблема out-of-bounds чтения/записи, которая может эксплуатироваться для выполнения произвольного кода или DoS-атак.
«Хотя последствия успешной эксплуатации этой уязвимости могут быть серьезными, вероятность того, что атакующий сможет осуществить это, весьма низкая», — говорится в бюллетене безопасности.
Третья уязвимость, CVE-2025-9232, имеет низкую серьезность и сообщается, что ее можно эксплуатировать для провоцирования сбоев в работе приложения, которые в итоге приведут к отказам в обслуживании (DoS).
