CVE-2025-9232 in OpenSSL
Résumé
par VulDB • 30/06/2026
Résumé de l'incident : Une application utilisant les fonctions API du client HTTP d'OpenSSL peut déclencher une lecture hors limites (out-of-bounds read) si la variable d'environnement 'no_proxy' est définie et que la partie hôte du composant autorité de l'URL HTTP est une adresse IPv6.
Résumé de l'impact : Une lecture hors limites peut provoquer un plantage, entraînant une déni de service (DoS) pour une application.
Les fonctions API du client HTTP d'OpenSSL peuvent être utilisées directement par les applications, mais elles sont également employées par les fonctions cliente OCSP et l'implémentation du client CMP (Certificate Management Protocol) dans OpenSSL. Toutefois, il est peu probable que les URL utilisées par ces implémentations soient contrôlées par un attaquant.
Dans le code vulnérable, la lecture hors limites ne peut déclencher qu'un plantage. De plus, cette vulnérabilité nécessite qu'une URL contrôlée par l'attaquant soit transmise d'une application à la fonction OpenSSL et que l'utilisateur ait défini une variable d'environnement 'no_proxy'. Pour les raisons susmentionnées, l'incident a été évalué comme ayant une sévérité faible.
Le code vulnérable a été introduit dans les versions correctives suivantes : 3.0.16, 3.1.8, 3.2.4, 3.3.3, 3.4.0 et 3.5.0.
Les modules FIPS des versions 3.5, 3.4, 3.3, 3.2, 3.1 et 3.0 ne sont pas affectés par cet incident, car l'implémentation du client HTTP se trouve en dehors de la limite du module FIPS d'OpenSSL.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.