「OpenSSL」に複数の脆弱性 - アップデートで修正

「OpenSSL」に複数の脆弱性が判明し、アップデートをリリースした。脆弱性が悪用される条件は限定的としている。

現地時間2025年9月30日にセキュリティアドバイザリを更新し、3件の脆弱性「CVE-2025-9230」「CVE-2025-9231」「CVE-2025-9232」について明らかにしたもの。

「CVE-2025-9230」は、「CMSメッセージ」を「パスワードベース暗号化（PWRI）」で復号する際に域外メモリへのアクセスが生じる脆弱性。任意のコード実行やサービス拒否につながるおそれがある。

「CVE-2025-9231」は、「SM2署名アルゴリズム」において秘密鍵を推測できるタイミングサイドチャネル攻撃が可能となる脆弱性。64ビットARM環境のみ存在し、デフォルトでは「TLS」で直接「SM2証明書」を利用していない。

「CVE-2025-9232」は、HTTPクライアントAPIにおける「no_proxy」の環境変数における処理の不備に起因。域外メモリを読み込み、特定条件下ではサービス拒否を起こすおそれがある。攻撃が成功する条件は限定的とされている。

（Security NEXT - 2025/10/02 ）ツイート