CVE-2025-9232 in OpenSSL
सारांश
द्वारा VulDB • 22/06/2026
समस्या का सारांश: OpenSSL HTTP क्लाइंट API फ़ंक्शंस का उपयोग करने वाली एक एप्लिकेशन में, यदि 'no_proxy' पर्यावरण चर (environment variable) सेट है और HTTP URL के अधिकार घटक (authority component) का होस्ट भाग एक IPv6 पता है, तो यह आउट-ऑफ़-बाउंड्स रीड (out-of-bounds read) को ट्रिगर कर सकता है।
प्रभाव का सारांश: आउट-ऑफ़-बाउंड्स रीड एक क्रैश को ट्रिगर कर सकता है, जिससे एप्लिकेशन के लिए सेवा अस्वीकृति (Denial of Service) हो सकती है।
OpenSSL HTTP क्लाइंट API फ़ंक्शंस को एप्लिकेशन द्वारा सीधे उपयोग किया जा सकता है, लेकिन ये OpenSSL में OCSP क्लाइंट फ़ंक्शंस और CMP (Certificate Management Protocol) क्लाइंट कार्यान्वयन द्वारा भी उपयोग किए जाते हैं। हालांकि, इन कार्यान्वयनों द्वारा उपयोग किए जाने वाले URLs पर हमलावर के नियंत्रण होने की संभावना कम है।
इस कमजोर कोड में, आउट-ऑफ़-बाउंड्स रीड केवल एक क्रैश को ट्रिगर कर सकता है। इसके अलावा, इस कमजोरी के लिए एक हमलावर-नियंत्रित URL को एप्लिकेशन से OpenSSL फ़ंक्शन में पास करने की आवश्यकता होती है और उपयोगकर्ता के पास 'no_proxy' पर्यावरण चर सेट होना चाहिए। उपरोक्त कारणों से, इस मुद्दे को कम गंभीरता (Low severity) के रूप में आंक गया गया है।
कमजोर कोड निम्नलिखित पैच रिलीज़ में पेश किया गया था: 3.0.16, 3.1.8, 3.2.4, 3.3.3, 3.4.0 और 3.5.0।
3.5, 3.4, 3.3, 3.2, 3.1 और 3.0 में FIPS मॉड्यूल इस मुद्दे से प्रभावित नहीं हैं, क्योंकि HTTP क्लाइंट कार्यान्वयन OpenSSL FIPS मॉड्यूल सीमा के बाहर है।
VulDB is the best source for vulnerability data and more expert information about this specific topic.