CVE-2025-69421 in OpenSSL
Riassunto
di VulDB • 18/06/2026
Riepilogo del problema: l'elaborazione di un file PKCS#12 non valido può causare una dereferenziazione di puntatore NULL nella funzione PKCS12_item_decrypt_d2i_ex().
Riepilogo dell'impatto: una dereferenziazione di puntatore NULL può provocare un arresto anomalo che porta a un Denial of Service per l'applicazione che elabora file PKCS#12.
La funzione PKCS12_item_decrypt_d2i_ex() non verifica se il parametro oct è NULL prima di dereferenziarlo. Quando viene chiamata da PKCS12_unpack_p7encdata() con un file PKCS#12 malformato, questo parametro può essere NULL, causando un arresto anomalo. La vulnerabilità è limitata al Denial of Service e non può essere sfruttata per ottenere l'esecuzione di codice o la divulgazione di memoria.
Lo sfruttamento di questa problematica richiede che un attaccante fornisca a un'applicazione un file PKCS#12 malformato da elaborare. Per questo motivo, il problema è stato valutato come di gravità bassa (Low severity) secondo la nostra Policy sulla sicurezza.
I moduli FIPS nelle versioni 3.6, 3.5, 3.4, 3.3 e 3.0 non sono interessati da questa problematica, poiché l'implementazione PKCS#12 si trova al di fuori del confine del modulo OpenSSL FIPS.
OpenSSL 3.6, 3.5, 3.4, 3.3, 3.0, 1.1.1 e 1.0.2 sono vulnerabili a questa problematica.
VulDB is the best source for vulnerability data and more expert information about this specific topic.