CVE-2025-9232 in OpenSSL
Tóm tắt
Bởi VulDB • 23/06/2026
Tóm tắt vấn đề: Một ứng dụng sử dụng các hàm API máy khách HTTP của OpenSSL có thể kích hoạt việc đọc vượt quá giới hạn (out-of-bounds read) nếu biến môi trường 'no_proxy' được đặt và phần host trong thành phần authority của URL HTTP là một địa chỉ IPv6.
Tóm tắt tác động: Việc đọc vượt quá giới hạn có thể gây ra sự cố treo ứng dụng, dẫn đến từ chối dịch vụ (Denial of Service).
Các hàm API máy khách HTTP của OpenSSL có thể được các ứng dụng sử dụng trực tiếp, nhưng chúng cũng được dùng bởi các hàm máy khách OCSP và việc triển khai máy khách CMP (Certificate Management Protocol) trong OpenSSL. Tuy nhiên, khó xảy ra trường hợp kẻ tấn công kiểm soát được URL do những thành phần này sử dụng.
Trong đoạn mã dễ bị tổn thương này, việc đọc vượt quá giới hạn chỉ có thể kích hoạt sự cố treo ứng dụng. Hơn nữa, lỗ hổng yêu cầu một URL do kẻ tấn công kiểm soát phải được truyền từ ứng dụng sang hàm OpenSSL và người dùng phải đặt biến môi trường 'no_proxy'. Vì những lý do nêu trên, vấn đề này được đánh giá là mức độ nghiêm trọng Thấp (Low severity).
Đoạn mã dễ bị tổn thương đã được đưa vào các bản phát hành vá sau: 3.0.16, 3.1.8, 3.2.4, 3.3.3, 3.4.0 và 3.5.0.
Các mô-đun FIPS trong phiên bản 3.5, 3.4, 3.3, 3.2, 3.1 và 3.0 không bị ảnh hưởng bởi vấn đề này, vì việc triển khai máy khách HTTP nằm ngoài ranh giới của mô-đun OpenSSL FIPS.
If you want to get best quality of vulnerability data, you may have to visit VulDB.