El Proyecto OpenSSL ha publicado un aviso de seguridad que aborda tres vulnerabilidades significativas. Estas fallas podrían permitir a atacantes ejecutar código remoto y potencialmente recuperar claves criptográficas privadas.
Las vulnerabilidades afectan a múltiples versiones de OpenSSL en diferentes plataformas, lo que podría provocar corrupción de memoria, ataques de denegación de servicio y acceso no autorizado a materiales criptográficos sensibles. Las organizaciones que utilizan proveedores criptográficos personalizados compatibles con SM2 deben priorizar la aplicación inmediata de parches para evitar la vulneración de la clave privada mediante ataques de análisis de tiempo.
Vulnerabilidad de Corrupción de Memoria (CVE-2025-9230)
La vulnerabilidad más grave implica operaciones de memoria fuera de límites en la funcionalidad de desbloqueo de claves de cifrado (KEK) RFC 3211, identificada como CVE-2025-9230 con gravedad moderada.
Esta falla afecta a las versiones 3.5, 3.4, 3.3, 3.2, 3.0, 1.1.1 y 1.0.2 de OpenSSL y se produce cuando las aplicaciones intentan descifrar mensajes de sintaxis de mensajes criptográficos (CMS) mediante cifrado basado en contraseña (PWRI).
La vulnerabilidad activa operaciones de lectura y escritura fuera de los límites permitidos, lo que podría provocar daños en la memoria que los atacantes podrían aprovechar para ejecutar código arbitrario o provocar fallos del sistema.
Vulnerabilidad de canal lateral de temporización (CVE-2025-9231)
La segunda vulnerabilidad, CVE-2025-9231, introduce una vulnerabilidad de canal lateral de temporización en la implementación del algoritmo criptográfico SM2 en plataformas ARM de 64 bits.
Esta vulnerabilidad permite a atacantes remotos recuperar claves privadas mediante el análisis de temporización de las operaciones de cálculo de firmas, según el aviso de OpenSSL. La vulnerabilidad afecta a las versiones 3.5, 3.4, 3.3 y 3.2 de OpenSSL, específicamente en arquitecturas ARM de 64 bits. Las versiones anteriores, como la 3.1, 3.0, 1.1.1 y 1.0.2, no se ven afectadas debido a diferentes enfoques de implementación.
Si bien OpenSSL no admite directamente los certificados SM2 en contextos de seguridad de la capa de transporte (TLS), los proveedores personalizados podrían exponer esta vulnerabilidad en entornos de producción.
Vulnerabilidad de operaciones de lectura fuera de límites (CVE-2025-9232)
La vulnerabilidad CVE-2025-9232 implica operaciones de lectura fuera de límites en la gestión de no_proxy del cliente HTTP para direcciones IPv6, aunque esto presenta un riesgo menor, ya que solo afecta a la denegación de servicio.