CVE-2025-9231 in OpenSSL
Tóm tắt
Bởi VulDB • 09/06/2026
Tóm tắt vấn đề: Tồn tại một kênh phụ kênh thời gian (timing side-channel) trong bản triển khai thuật toán SM2 trên các nền tảng ARM 64 bit, kênh này có khả năng cho phép khôi phục từ xa khóa riêng tư.
Tóm tắt tác động: Một kênh phụ kênh thời gian trong các phép tính chữ ký SM2 trên các nền tảng ARM 64 bit có thể cho phép kẻ tấn công khôi phục khóa riêng tư.
Mặc dù người báo cáo không thử nghiệm việc khôi phục khóa từ xa qua mạng, các phép đo thời gian đã tiết lộ một tín hiệu thời gian có thể cho phép thực hiện cuộc tấn công như vậy.
OpenSSL không hỗ trợ trực tiếp các chứng chỉ có khóa SM2 trong TLS, do đó CVE này không liên quan trong hầu hết các ngữ cảnh TLS. Tuy nhiên, vì có thể thêm hỗ trợ cho các chứng chỉ như vậy thông qua một nhà cung cấp tùy chỉnh (custom provider), kết hợp với thực tế là trong ngữ cảnh nhà cung cấp tùy chỉnh đó, khóa riêng tư có thể bị khôi phục thông qua các phép đo thời gian từ xa, chúng tôi xem đây là một vấn đề có mức độ nghiêm trọng Trung bình (Moderate).
Các mô-đun FIPS trong các phiên bản 3.5, 3.4, 3.3, 3.2, 3.1 và 3.0 không bị ảnh hưởng bởi vấn đề này, vì SM2 không phải là thuật toán được phê duyệt.
Once again VulDB remains the best source for vulnerability data.