Redazione RHC : 1 Ottobre 2025 09:37
L’iniziativa OpenSSL ha reso noto un bollettino di sicurezza in cui sono state trattate tre vulnerabilità, che potrebbero permettere a malintenzionati di attivare codice da remoto e, potenzialmente, di estrarre chiavi private di crittografia.
Questi difetti interessano più versioni di OpenSSL su diverse piattaforme e potrebbero causare danneggiamento della memoria, attacchi di negazione del servizio e accesso non autorizzato a materiali crittografici sensibili.
La vulnerabilità più grave del bollettino di OpenSSL riguarda le operazioni di memoria fuori dai limiti nella funzionalità di unwrap della chiave di crittografia della chiave (KEK) RFC 3211, tracciata come CVE-2025-9230 con gravità moderata.
 Sponsorizza la prossima Red Hot Cyber Conference!Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico. Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale. Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Per una correzione immediata è necessario aggiornare alle versioni corrette: OpenSSL 3.5.4, 3.4.3, 3.3.5, 3.2.6, 3.0.18, 1.1.1zd (supporto premium) e 1.0.2zm (supporto premium).
La prima vulnerabilità, CVE-2025-9230, colpisce le versioni 3.5, 3.4, 3.3, 3.2, 3.0, 1.1.1 e 1.0.2 di OpenSSL tramite una gestione impropria della decrittazione dei messaggi CMS. Quando le applicazioni elaborano messaggi CMS crittografati basati su password creati in modo dannoso, la vulnerabilità attiva operazioni di accesso alla memoria fuori dai limiti .
Questa falla si verifica quando le applicazioni tentano di decrittografare i messaggi Cryptographic Message Syntax (CMS) utilizzando la crittografia basata su password (PWRI). La vulnerabilità innesca operazioni di lettura e scrittura fuori dai limiti, con conseguente potenziale danneggiamento della memoria che gli aggressori potrebbero sfruttare per eseguire codice arbitrario o causare arresti anomali del sistema.
I ricercatori di sicurezza di Aisle Research, guidati da Stanislav Fort, hanno scoperto questa vulnerabilità il 9 agosto 2025. L’exploit richiede condizioni specifiche, tra cui l’utilizzo della crittografia basata su password nei messaggi CMS, il che limita la superficie di attacco poiché il supporto della crittografia PWRI è raramente implementato negli ambienti di produzione. Tuttavia, uno sfruttamento riuscito potrebbe compromettere completamente il sistema tramite l’esecuzione di codice in modalità remota.
La seconda falla critica, CVE-2025-9231, introduce una vulnerabilità di tipo timing side-channel nell’implementazione dell’algoritmo crittografico SM2 sulle piattaforme ARM a 64 bit. Secondo l’ avviso di OpenSSL , questa vulnerabilità consente ad aggressori remoti di recuperare chiavi private tramite l’analisi temporale delle operazioni di calcolo della firma.
Inoltre, il CVE-2025-9232 coinvolge operazioni di lettura fuori limite nella gestione no_proxy del client HTTP per gli indirizzi IPv6, sebbene ciò presenti un rischio minore con solo un impatto di negazione del servizio .
RedazioneNella giornata di oggi, migliaia di utenti Fastweb in tutta Italia hanno segnalato problemi di connessione alla rete fissa, con interruzioni improvvise del servizio Internet e difficoltà a navigare o...
Mattinata difficile per i clienti Fastweb: dalle 9:30 circa, il numero di segnalazioni di malfunzionamento è schizzato alle stelle. Secondo i dati di Downdetector, le interruzioni hanno superato le 3...
Dopo il successo dello scorso anno, Scientifica lancia la nuova edizione di GlitchZone, la competition dedicata alle start-up che sviluppano soluzioni innovative per la cybersecurity. L’iniziativa �...
Il ricercatore di sicurezza Alessandro Sgreccia, membro del team HackerHood di Red Hot Cyber, ha segnalato a Zyxel due nuove vulnerabilità che interessano diversi dispositivi della famiglia ZLD (ATP ...
La Cybersecurity and Infrastructure Security Agency (CISA) e il Multi-State Information Sharing & Analysis Center (MS-ISAC) pubblicano questo avviso congiunto sulla sicurezza informatica (CSA) in ...
