OpenSSLの脆弱性(Moderate: CVE-2025-9230, CVE-2025-9231, Low: CVE-2025-9232)と3.5.4, 3.4.3, 3.3.5, 3.2.6, 3.0.18, 1.0.2zm, 1.1.1zdリリース

10/02/2025(JST)にOpenSSLの脆弱性(Moderate: CVE-2025-9230, CVE-2025-9231, Low: CVE-2025-9232)が公開されました。3.5.4, 3.4.3, 3.3.5, 3.2.6, 3.0.18, 1.0.2zm, 1.1.1zdがリリースされています。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について纏めます。

[過去関連リンク(最新5件)]

CVSS/プライオリティ

CVE-2025-9230
- 影響するバージョン
  - OpenSSL 3.5, 3.4, 3.3, 3.2, 3.0, 1.1.1,1.0.2が対象
- Priority/CVSS SCORE
  - Vendor: Moderate
  - NVD(CVSSv4): Not disclosed
  - NVD(CVSSv31): Not disclosed
  - Red Hat(CVSSv4): Not disclosed
  - Red Hat(CVSSv31): Not disclosed
- CVSS Vector
  - NVD(CVSSv4): Not disclosed
  - NVD(CVSSv31): Not disclosed
  - Red Hat(CVSSv4): Not disclosed
  - Red Hat(CVSSv31): Not disclosed
- EPSS Score/Percentile
  - DATE(JST): 2025-09-30
  - EPSS: Not Available
  - Percentile: Not Available
CVE-2025-9231
- 影響するバージョン
  - OpenSSL 3.5, 3.4, 3.3, 3.2が対象。3.1, 3.0, 1.1.1, 1.0.2は対象外
- Priority/CVSS SCORE
  - Vendor: Moderate
  - NVD(CVSSv4): Not disclosed
  - NVD(CVSSv31): Not disclosed
  - Red Hat(CVSSv4): Not disclosed
  - Red Hat(CVSSv31): Not disclosed
- CVSS Vector
  - NVD(CVSSv4): Not disclosed
  - NVD(CVSSv31): Not disclosed
  - Red Hat(CVSSv4): Not disclosed
  - Red Hat(CVSSv31): Not disclosed
- EPSS Score/Percentile
  - DATE(JST): 2025-09-30
  - EPSS: Not Available
  - Percentile: Not Available
CVE-2025-9232
- 影響するバージョン
  - OpenSSL 3.5, 3.4, 3.3, 3.2, 3.0が対象。OpenSSL 1.1.1, 1.0.2は対象外
- Priority/CVSS SCORE
  - Vendor: Low
  - NVD(CVSSv4): Not disclosed
  - NVD(CVSSv31): Not disclosed
  - Red Hat(CVSSv4): Not disclosed
  - Red Hat(CVSSv31): Not disclosed
- CVSS Vector
  - NVD(CVSSv4): Not disclosed
  - NVD(CVSSv31): Not disclosed
  - Red Hat(CVSSv4): Not disclosed
  - Red Hat(CVSSv31): Not disclosed
- EPSS Score/Percentile
  - DATE(JST): 2025-09-30
  - EPSS: Not Available
  - Percentile: Not Available

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

https://www.cve.org/CVERecord?id=CVE-2025-9230
- RFC 3211 KEK UnwrapでのCVE_TITLEを書き込む際の境界外読み込み
  - Issue Summary: パスワードベース暗号化を使用して暗号化されたCMSメッセージを復号化するアプリケーションは、境界外読み取りおよび書き込みを引き起こす可能性があります。
  - Impact Summary: 境界外の読み取りにより、アプリケーションのクラッシュによるサービス拒否（DoS）につながる可能性があります。また、境界外の書き込みはメモリ破損を引き起こし、サービス拒否（DoS）や攻撃者が指定したコードの実行など、様々な結果をもたらす可能性があります。
https://www.cve.org/CVERecord?id=CVE-2025-9231
- 64ビットARMでのSM2アルゴリズムにおけるタイミングサイドチャネル
  - Issue Summary: 64ビットARM上のSM2アルゴリズム実装には、秘密鍵のリモート復元を可能にするタイミングサイドチャネル脆弱性が存在します。OpenSSLはTLSでのSM2鍵署名を直接サポートしていないため、殆どのTLSではこの脆弱性は影響しません。しかし、カスタムプロバイダー経由でこのような証明書のサポートを追加することは可能のため、Mediumとなっています。
  - Impact Summary: 影響の概要：64ビットARMプラットフォーム上のSM2署名計算におけるタイミングサイドチャネル脆弱性により、攻撃者による秘密鍵の復元が可能になる可能性があります。
https://www.cve.org/CVERecord?id=CVE-2025-9232
- HTTPクライアントでno_proxy処理の際に境界外読み込みの可能性
  - Issue Summary: OpenSSL HTTPクライアントAPI関数を使用するアプリケーションでは、”no_proxy”環境変数が設定されており、HTTP URLの認証局コンポーネントのホストがIPv6アドレスである場合、境界外読み取りを引き起こす可能性があります。
  - Impact Summary: 境界外読み取りによりクラッシュを引き起こし、アプリケーションのサービス拒否につながる可能性があります。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。