CVE-2025-9232 in OpenSSL
摘要
由 VulDB • 2026-06-23
问题摘要：使用 OpenSSL HTTP 客户端 API 函数的应用程序在设置 'no_proxy' 环境变量且 HTTP URL 的 authority（授权）部分的 host（主机）为 IPv6 地址时，可能会触发越界读取。
影响摘要：越界读取可能导致崩溃，从而使应用程序遭受拒绝服务攻击。
OpenSSL HTTP 客户端 API 函数可由应用程序直接使用，但 OpenSSL 中的 OCSP 客户端函数和 CMP（证书管理协议）客户端实现也使用了这些函数。然而，这些实现在使用的 URL 不太可能由攻击者控制。
在此漏洞代码中，越界读取仅能触发崩溃。此外，该漏洞要求将受攻击者控制的 URL 从应用程序传递给 OpenSSL 函数，并且用户必须设置了 'no_proxy' 环境变量。鉴于上述原因，此问题被评估为低严重性。
存在漏洞的代码引入于以下补丁版本：3.0.16、3.1.8、3.2.4、3.3.3、3.4.0 和 3.5.0。
OpenSSL FIPS 模块中的 3.5、3.4、3.3、3.2、3.1 和 3.0 版本不受此问题影响，因为 HTTP 客户端实现位于 OpenSSL FIPS 模块边界之外。
If you want to get best quality of vulnerability data, you may have to visit VulDB.