OpenSSL publica atualização de segurança

O OpenSSL Project publicou novas versões da biblioteca SSL/TLS com correções para três vulnerabilidades conhecidas. As atualizações estão disponíveis nas versões 3.5.4, 3.4.3, 3.3.5, 3.2.6, 3.0.18, 1.0.2zm e 1.1.1zd, e a maioria delas resolve os problemas rastreados como CVE-2025-9230, CVE-2025-9231 e CVE-2025-9232. As correções acabam de ser disponibilizadas e os mantenedores recomendam que organizações que usam OpenSSL apliquem as atualizações o quanto antes.

Leia também
Hijacking no CLI gera acesso privilegiado
Trust Control amplia atuação no mercado de cyber

CVE-2025-9231 recebeu classificação de gravidade moderada e pode permitir a recuperação da chave privada em cenários muito específicos. Segundo os desenvolvedores, a falha afeta a implementação do algoritmo SM2 em plataformas ARM de 64 bits. Em condições normais de uso em TLS essa situação não é comum, mas em contextos onde um provedor personalizado adiciona suporte a certificados SM2 e execuções remotas de medição de tempo são possíveis, a exposição existe.

CVE-2025-9230 também foi classificada como moderada e trata-se de uma leitura/escrita fora de limites que, em teoria, poderia ser explorada para execução arbitrária de código ou para provocar negação de serviço. O projeto ressalta que, embora as consequências de uma exploração bem sucedida possam ser severas, a probabilidade prática de exploração é relativamente baixa.

A terceira falha, CVE-2025-9232, foi avaliada como de baixa gravidade e permite induzir uma condição de queda que resulta em negação de serviço. Apesar de o risco variar conforme implementação e plataforma, a recomendação padrão é atualizar as bibliotecas e revisar uso de algoritmos e provedores personalizados que possam ampliar a superfície afetada.