CVE-2025-9231 in OpenSSL
Сводка
по VulDB • 30.06.2026
Сводка по проблеме: В реализации алгоритма SM2 на платформах ARM с разрядностью 64 бита существует канал утечки информации через побочные эффекты времени выполнения (timing side-channel), который потенциально может позволить удаленное восстановление закрытого ключа.
Сводка по воздействию: Канал утечки информации через побочные эффекты времени выполнения в вычислениях подписи SM2 на платформах ARM с разрядностью 64 бита может позволить злоумышленнику восстановить закрытый ключ.
Хотя автор отчета не предпринимал попыток удаленного восстановления ключа по сети, измерения времени выявили временной сигнал, который может быть использован для такой атаки.
OpenSSL напрямую не поддерживает сертификаты с ключами SM2 в протоколе TLS, поэтому данный CVE не актуален в большинстве контекстов использования TLS. Однако, учитывая возможность добавления поддержки таких сертификатов через пользовательский провайдер (custom provider), а также тот факт, что в таком контексте закрытый ключ может быть восстановлен путем удаленных измерений времени выполнения, мы считаем эту проблему проблемой средней степени серьезности (Moderate severity).
Модули FIPS версий 3.5, 3.4, 3.3, 3.2, 3.1 и 3.0 не затронуты данной проблемой, поскольку алгоритм SM2 не является утвержденным в рамках стандарта FIPS.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.