30 вересня 2025 року OpenSSL повідомила про вразливість під час розшифрування CMS-повідомлень, яка дозволяє читання та запис за межами пам'яті. Це може призвести до відмови в обслуговуванні або виконання довільного коду, проте проблема не зачіпає модулі FIPS у версіях 3.0–3.5.
Проблема стосується процесу розшифрування CMS-повідомлень із парольним захистом, де виявлено помилку читання та запису за межами пам'яті. Важливо зазначити, що FIPS-модулі версій 3.0–3.5 не зачеплені цією вразливістю, оскільки функціонал CMS знаходиться поза їхніми межами. Однак, стандартні бібліотеки OpenSSL, що використовують цей функціонал, залишаються вразливими.
Рекомендації:
- Оновіть OpenSSL до версії, що містить виправлення CVE-2025-9230.
- Проведіть інвентаризацію сервісів, які використовують парольне розшифрування CMS.
- Якщо ви використовуєте FIPS-модулі, переконайтеся, що ви не покладаєтеся на несертифіковані компоненти для обробки CMS-повідомлень.
Патч CVE-2025-9230 для OpenSSL CMS
Вразливість в OpenSSL при розшифруванні CMS-повідомлень створює ризик відмови в обслуговуванні або виконання довільного коду. Для адміністраторів систем це означає необхідність термінового оновлення бібліотек, особливо в сервісах, що працюють з парольним захистом даних.
Практичний крок: Оновіть OpenSSL до версії, що містить виправлення CVE-2025-9230. Зверніться до Softline для проведення інвентаризації ваших сервісів та перевірки коректності використання криптографічних модулів, щоб гарантувати безпеку обробки конфіденційних даних.
Використані джерела
- openssl-library.org (openssl-library.org)