Redazione RHC : 1 Ottobre 2025 09:37
L’iniziativa OpenSSL ha reso noto un bollettino di sicurezza in cui sono state trattate tre vulnerabilità, che potrebbero permettere a malintenzionati di attivare codice da remoto e, potenzialmente, di estrarre chiavi private di crittografia.
Questi difetti interessano più versioni di OpenSSL su diverse piattaforme e potrebbero causare danneggiamento della memoria, attacchi di negazione del servizio e accesso non autorizzato a materiali crittografici sensibili.
La vulnerabilità più grave del bollettino di OpenSSL riguarda le operazioni di memoria fuori dai limiti nella funzionalità di unwrap della chiave di crittografia della chiave (KEK) RFC 3211, tracciata come CVE-2025-9230 con gravità moderata.
Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber"Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. Non possiamo più permetterci di chiudere gli occhi". Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca. Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare. Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]  Supporta RHC attraverso:
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Per una correzione immediata è necessario aggiornare alle versioni corrette: OpenSSL 3.5.4, 3.4.3, 3.3.5, 3.2.6, 3.0.18, 1.1.1zd (supporto premium) e 1.0.2zm (supporto premium).
La prima vulnerabilità, CVE-2025-9230, colpisce le versioni 3.5, 3.4, 3.3, 3.2, 3.0, 1.1.1 e 1.0.2 di OpenSSL tramite una gestione impropria della decrittazione dei messaggi CMS. Quando le applicazioni elaborano messaggi CMS crittografati basati su password creati in modo dannoso, la vulnerabilità attiva operazioni di accesso alla memoria fuori dai limiti .
Questa falla si verifica quando le applicazioni tentano di decrittografare i messaggi Cryptographic Message Syntax (CMS) utilizzando la crittografia basata su password (PWRI). La vulnerabilità innesca operazioni di lettura e scrittura fuori dai limiti, con conseguente potenziale danneggiamento della memoria che gli aggressori potrebbero sfruttare per eseguire codice arbitrario o causare arresti anomali del sistema.
I ricercatori di sicurezza di Aisle Research, guidati da Stanislav Fort, hanno scoperto questa vulnerabilità il 9 agosto 2025. L’exploit richiede condizioni specifiche, tra cui l’utilizzo della crittografia basata su password nei messaggi CMS, il che limita la superficie di attacco poiché il supporto della crittografia PWRI è raramente implementato negli ambienti di produzione. Tuttavia, uno sfruttamento riuscito potrebbe compromettere completamente il sistema tramite l’esecuzione di codice in modalità remota.
La seconda falla critica, CVE-2025-9231, introduce una vulnerabilità di tipo timing side-channel nell’implementazione dell’algoritmo crittografico SM2 sulle piattaforme ARM a 64 bit. Secondo l’ avviso di OpenSSL , questa vulnerabilità consente ad aggressori remoti di recuperare chiavi private tramite l’analisi temporale delle operazioni di calcolo della firma.
Inoltre, il CVE-2025-9232 coinvolge operazioni di lettura fuori limite nella gestione no_proxy del client HTTP per gli indirizzi IPv6, sebbene ciò presenti un rischio minore con solo un impatto di negazione del servizio .
RedazioneIn un settore un tempo dominato da star dal vivo, i personaggi digitali si stanno facendo sempre più strada. Durante un summit a Zurigo, Ellin van der Velden, attrice, comica e tecnologa, ha annuncia...
La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha aggiunto una vulnerabilità critica nella popolare utility Sudo, utilizzata su sistemi Linux e Unix-like, al suo catalog...
Negli ultimi anni gli attacchi informatici sono diventati una delle principali minacce per le aziende, indipendentemente dal settore. Se i reparti tecnici si concentrano sulla risoluzione dei problemi...
Nel 2025 l’Unione Europea vuole avere il controllo totale sulle chat private. Il Regolamento “Chat Control” (proposta COM(2022)209) promette di combattere la pornografia minorile con la scansion...
Qualche produttore di spyware starà probabilmente facendo ginnastica… strappandosi i capelli. Ma ormai è il solito teatrino: c’è chi trova, chi incassa, chi integra e poi arriva il ricercatore ...
