Redazione RHC : 1 Ottobre 2025 09:37
L’iniziativa OpenSSL ha reso noto un bollettino di sicurezza in cui sono state trattate tre vulnerabilità, che potrebbero permettere a malintenzionati di attivare codice da remoto e, potenzialmente, di estrarre chiavi private di crittografia.
Questi difetti interessano più versioni di OpenSSL su diverse piattaforme e potrebbero causare danneggiamento della memoria, attacchi di negazione del servizio e accesso non autorizzato a materiali crittografici sensibili.
La vulnerabilità più grave del bollettino di OpenSSL riguarda le operazioni di memoria fuori dai limiti nella funzionalità di unwrap della chiave di crittografia della chiave (KEK) RFC 3211, tracciata come CVE-2025-9230 con gravità moderata.
 Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico. Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale. Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Per una correzione immediata è necessario aggiornare alle versioni corrette: OpenSSL 3.5.4, 3.4.3, 3.3.5, 3.2.6, 3.0.18, 1.1.1zd (supporto premium) e 1.0.2zm (supporto premium).
La prima vulnerabilità, CVE-2025-9230, colpisce le versioni 3.5, 3.4, 3.3, 3.2, 3.0, 1.1.1 e 1.0.2 di OpenSSL tramite una gestione impropria della decrittazione dei messaggi CMS. Quando le applicazioni elaborano messaggi CMS crittografati basati su password creati in modo dannoso, la vulnerabilità attiva operazioni di accesso alla memoria fuori dai limiti .
Questa falla si verifica quando le applicazioni tentano di decrittografare i messaggi Cryptographic Message Syntax (CMS) utilizzando la crittografia basata su password (PWRI). La vulnerabilità innesca operazioni di lettura e scrittura fuori dai limiti, con conseguente potenziale danneggiamento della memoria che gli aggressori potrebbero sfruttare per eseguire codice arbitrario o causare arresti anomali del sistema.
I ricercatori di sicurezza di Aisle Research, guidati da Stanislav Fort, hanno scoperto questa vulnerabilità il 9 agosto 2025. L’exploit richiede condizioni specifiche, tra cui l’utilizzo della crittografia basata su password nei messaggi CMS, il che limita la superficie di attacco poiché il supporto della crittografia PWRI è raramente implementato negli ambienti di produzione. Tuttavia, uno sfruttamento riuscito potrebbe compromettere completamente il sistema tramite l’esecuzione di codice in modalità remota.
La seconda falla critica, CVE-2025-9231, introduce una vulnerabilità di tipo timing side-channel nell’implementazione dell’algoritmo crittografico SM2 sulle piattaforme ARM a 64 bit. Secondo l’ avviso di OpenSSL , questa vulnerabilità consente ad aggressori remoti di recuperare chiavi private tramite l’analisi temporale delle operazioni di calcolo della firma.
Inoltre, il CVE-2025-9232 coinvolge operazioni di lettura fuori limite nella gestione no_proxy del client HTTP per gli indirizzi IPv6, sebbene ciò presenti un rischio minore con solo un impatto di negazione del servizio .
RedazioneIl 18 novembre 2025, alle 11:20 UTC, una parte significativa dell’infrastruttura globale di Cloudflare ha improvvisamente cessato di instradare correttamente il traffico Internet, mostrando a milion...
Questo è il quinto di una serie di articoli dedicati all’analisi della violenza di genere nel contesto digitale, in coincidenza con la Giornata Internazionale per l’Eliminazione della Violenza co...
18 novembre 2025 – Dopo ore di malfunzionamenti diffusi, l’incidente che ha colpito la rete globale di Cloudflare sembra finalmente vicino alla risoluzione. L’azienda ha comunicato di aver imple...
La mattinata del 18 novembre 2025 sarà ricordata come uno dei blackout più anomali e diffusi della rete Cloudflare degli ultimi mesi. La CDN – cuore pulsante di milioni di siti web, applicazioni e...
La stanza è la solita: luci tenui, sedie in cerchio, termos di tisane ormai diventate fredde da quanto tutti parlano e si sfogano. Siamo gli Shakerati Anonimi, un gruppo di persone che non avrebbe ma...
