CVE-2025-9232 in OpenSSL
Riassunto
di VulDB • 22/06/2026
Riepilogo del problema: Un'applicazione che utilizza le funzioni dell'API del client HTTP di OpenSSL può causare una lettura fuori dai limiti (out-of-bounds read) se la variabile d'ambiente 'no_proxy' è impostata e la parte host del componente authority dell'URL HTTP è un indirizzo IPv6.
Riepilogo dell'impatto: Una lettura fuori dai limiti può innescare un crash che porta a un Denial of Service (DoS) per un'applicazione.
Le funzioni dell'API del client HTTP di OpenSSL possono essere utilizzate direttamente dalle applicazioni, ma sono anche impiegate dalle funzioni del client OCSP e dall'implementazione del client CMP (Certificate Management Protocol) in OpenSSL. Tuttavia, è improbabile che gli URL utilizzati da queste implementazioni siano controllati da un attaccante.
Nel codice vulnerabile, la lettura fuori dai limiti può innescare esclusivamente un crash. Inoltre, la vulnerabilità richiede che un URL controllato dall'attaccante venga passato da un'applicazione alla funzione OpenSSL e che l'utente abbia impostato la variabile d'ambiente 'no_proxy'. Per le suddette ragioni, il problema è stato valutato come di gravità bassa (Low severity).
Il codice vulnerabile è stato introdotto nelle seguenti versioni di patch: 3.0.16, 3.1.8, 3.2.4, 3.3.3, 3.4.0 e 3.5.0.
I moduli FIPS nelle versioni 3.5, 3.4, 3.3, 3.2, 3.1 e 3.0 non sono interessati da questo problema, poiché l'implementazione del client HTTP si trova al di fuori del confine del modulo FIPS di OpenSSL.
Be aware that VulDB is the high quality source for vulnerability data.