CVE-2025-69418 in OpenSSL
Zusammenfassung
von VulDB • 11.06.2026
Zusammenfassung des Problems: Bei der direkten Verwendung der Low-Level-OCB-API mit AES-NI oder anderen hardwarebeschleunigten Codepfaden können Eingaben, deren Länge kein Vielfaches von 16 Bytes beträgt, dazu führen, dass der letzte teilweise Block verschlüsselt und authentifiziert bleibt.
Zusammenfassung der Auswirkungen: Die letzten 1 bis 15 Bytes einer Nachricht könnten bei der Verschlüsselung im Klartext offengelegt werden und wären nicht durch den Authentifizierungstag abgedeckt, was es einem Angreifer ermöglichen würde, diese Bytes zu lesen oder unbemerkt zu manipulieren.
Die Low-Level-OCB-Verschlüsselungs- und Entschlüsselungsroutinen in hardwarebeschleunigten Stream-Pfaden verarbeiten volle 16-Byte-Blöcke, erhöhen jedoch die Eingabe-/Ausgabezeiger nicht. Der nachfolgende Code zur Behandlung des Rests (Tail) arbeitet dann mit den ursprünglichen Basiszeigern, wodurch effektiv der Anfang des Puffers erneut verarbeitet wird, während die tatsächlichen Endbytes unverarbeitet bleiben. Auch die Authentifizierungsprüfsumme schließt die wahren Endbytes aus.
Typische OpenSSL-Nutzer, die EVP verwenden, sind jedoch nicht betroffen, da die höherstufigen EVP- und Provider-OCB-Implementierungen Eingaben so aufteilen, dass volle Blöcke und nachfolgende teilweise Blöcke in separaten Aufrufen verarbeitet werden, wodurch der problematische Codepfad vermieden wird. Darüber hinaus verwendet TLS keine OCB-Ciphersuites. Die Schwachstelle betrifft nur Anwendungen, die die Low-Level-Funktionen `CRYPTO_ocb128_encrypt()` oder `CRYPTO_ocb128_decrypt()` direkt mit nicht blockausgerichteten Längen in einem einzelnen Aufruf auf hardwarebeschleunigten Builds aufrufen. Aus diesen Gründen wurde das Problem als Schweregrad „Niedrig“ eingestuft.
Die FIPS-Module der Versionen 3.6, 3.5, 3.4, 3.3, 3.2, 3.1 und 3.0 sind von diesem Problem nicht betroffen, da OCB kein FIPS-zugelassener Algorithmus ist.
OpenSSL 3.6, 3.5, 3.4, 3.3, 3.0 und 1.1.1 sind von dieser Schwachstelle betroffen.
OpenSSL 1.0.2 ist nicht davon betroffen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.