因此，會受到 ALAS2023-2025-1225 公告中所提及的多個弱點影響。

    問題摘要嘗試解密使用密碼式加密加密的 CMS 訊息的應用程式可能會觸發超出邊界讀取和寫入。

    影響摘要此超出邊界讀取可能會觸發當機進而導致應用程式拒絕服務。超出邊界寫入可造成記憶體損毀進而造成多種後果包括拒絕服務或執行攻擊者提供的程式碼。

    雖然成功利用此弱點的後果可能很嚴重但攻擊者能夠執行該弱點的可能性很低。此外CMS 訊息中的密碼型 (PWRI) 加密支援也很少使用。因此根據我們的安全性原則此問題的嚴重性評估為中等。

     3.5、 3.4、 3.3、 3.2、 3.1 和 3.0 中的 FIPS 模組不受此問題影響因為 CMS 實作位於 OpenSSL FIPS 模組邊界之外。 (CVE-2025-9230)

    問題摘要64 bitARM 平台上的 SM2 演算法實作中存在計時旁路可能允許從遠端復原私密金鑰。

    影響摘要64 bitARM 平台上 SM2 簽章計算的計時旁路可能會允許攻擊者復原私密金鑰。

    報告者並未嘗試透過網路進行遠端金鑰復原定時測量顯示可能允許此類攻擊的定時訊號。

    OpenSSL 不直接支援 TLS 中具有 SM2 金鑰的憑證因此此 CVE 在大多數 TLS 內容中不相關。不過鑑於可透過自訂提供者新增對此類憑證的支援再加上在此類自訂提供者內容中私密金鑰可透過遠端計時度量復原我們認為這是中等嚴重性的問題。

     3.5、 3.4、 3.3、 3.2、 3.1 和 3.0 中的 FIPS 模組不受此問題影響因為 SM2 並非核准的演算法。 (CVE-2025-9231)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Amazon Linux 2023openssl、openssl-devel、openssl-fips-provider-latest (ALAS2023-2025-1225)

medium Nessus Plugin ID 270526

找不到依附元件