Vulnerabilidades críticas afetam OpenSSL

Três vulnerabilidades graves foram identificadas no OpenSSL, algumas permitindo a execução remota de código e a potencial recuperação de chaves criptográficas privadas. Entre estas, a mais significativa envolve corrupção de memória na funcionalidade de desencapsulamento de chaves RFC 3211, enquanto outra permite ataques de canal lateral em algoritmos SM2 em ARM de 64 bits.

A primeira vulnerabilidade, CVE-2025-9230, afeta versões desde a 1.0.2 até à 3.5 e permite que mensagens CMS baseadas em senha provoquem operações de leitura e gravação fora dos limites de memória. Esta falha, descoberta em agosto de 2025 por investigadores da Aisle Research liderados por Stanislav Fort, pode ser explorada para executar código arbitrário ou provocar falhas no sistema, embora a superfície de ataque seja limitada, dado que a criptografia PWRI raramente é usada em produção.

A segunda falha, identificada CVE-2025-9231, introduz um canal lateral de temporização no algoritmo SM2 em plataformas ARM de 64 bits. Esta vulnerabilidade permite que atacantes remotos analisem o tempo das operações de assinatura para recuperar chaves privadas, representando risco significativo para organizações que utilizem provedores personalizados com suporte a SM2.

Uma terceira vulnerabilidade, CVE-2025-9232, envolve leitura fora dos limites no tratamento de no_proxy do cliente HTTP para endereços IPv6. Apesar de menos crítica, pode ser explorada para ataques de negação de serviço.

A correção das falhas exige atualização para versões específicas do OpenSSL: 3.5.4, 3.4.3, 3.3.5, 3.2.6, 3.0.18, 1.1.1zd (suporte premium) e 1.0.2zm (suporte premium). A recomendação global é que todas as organizações que utilizem estas versões atualizem imediatamente.

Impacto e contexto na Europa

Apesar de os ataques requererem condições específicas, a dependência de OpenSSL em servidores web, aplicações de email e serviços cloud torna a ameaça relevante na Europa. Especialistas alertam que infraestruturas críticas, especialmente em ambientes que utilizem ARM de 64 bits, devem rever imediatamente os seus protocolos de atualização. A adoção limitada de PWRI em ambientes de produção pode reduzir a exposição, mas não elimina totalmente o risco de execução remota de código.