CVE-2025-9231
Təsvir
Problemin xülasəsi: 64 bit ARM platformalarında SM2 alqoritminin tətbiqində şəxsi açarın uzaqdan bərpasını potensial olaraq mümkün edən zamanlama yan kanalı (timing side-channel) mövcuddur. Təsirin xülasəsi: 64 bit ARM platformalarında SM2 imza hesablamalarındakı zamanlama yan kanalı hücumçuya şəxsi açarı bərpa etməyə imkan verə bilər. Hesabatı təqdim edən şəxs tərəfindən şəbəkə üzərindən uzaqdan açar bərpası cəhd edilməsə də, zamanlama ölçmələri belə bir hücuma imkan verə biləcək zamanlama siqnalını aşkar etmişdir. OpenSSL TLS-də SM2 açarları olan sertifikatları birbaşa dəstəkləmir və buna görə də bu CVE əksər TLS kontekstlərində aktual deyil. Lakin, xüsusi provayder vasitəsilə belə sertifikatlar üçün dəstəyin əlavə edilməsinin mümkün olduğu və belə bir xüsusi provayder kontekstində şəxsi açarın uzaqdan zamanlama ölçmələri ilə bərpa edilə biləcəyi nəzərə alınaraq, biz bunu Orta dərəcəli təhlükəsizlik problemi hesab edirik. SM2 təsdiqlənmiş alqoritm olmadığı üçün 3.5, 3.4, 3.3, 3.2, 3.1 və 3.0 versiyalarındakı FIPS modulları bu problemdən təsirlənmir.
Necə düzəltmək olar
- OpenSSL OpenSSL3.5.4, 3.4.3, 3.3.5, 3.2.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| OpenSSL OpenSSL | 3.5.0 ≤ v < 3.5.4, 3.4.0 ≤ v < 3.4.3, 3.3.0 ≤ v < 3.3.5, 3.2.0 ≤ v < 3.2.6 | 3.5.4, 3.4.3, 3.3.5, 3.2.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.