PT-2026-4943 · Openssl+4 · Openssl+4
Stanislav Fort
+1
·
Publicado
2025-01-01
·
Atualizado
2026-04-27
·
CVE-2025-15469
CVSS v3.1
5.5
Média
| Vetor | AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N |
Nome do Software Vulnerável e Versões Afetadas
Versões 3.5 e 3.6 do OpenSSL
Descrição
A ferramenta de linha de comando 'openssl dgst' trunca silenciosamente os dados de entrada para 16 MB ao usar algoritmos de assinatura one-shot e reporta sucesso em vez de um erro. Isso pode levar o usuário a acreditar que um arquivo inteiro foi autenticado, quando os dados finais além de 16 MB permanecem não autenticados. O problema afeta apenas o comportamento da ferramenta de linha de comando e não impacta verificadores que processam a mensagem completa usando APIs da biblioteca. Algoritmos de digest em streaming para 'openssl dgst' e usuários da biblioteca também não são afetados. O problema ocorre ao usar algoritmos de assinatura one-shot, como Ed25519, Ed448 ou ML-DSA. A ferramenta trunca a entrada para os primeiros 16 MB e continua sem sinalizar um erro, criando uma lacuna de integridade onde bytes finais podem ser modificados sem detecção, se tanto a assinatura quanto a verificação forem realizadas usando o mesmo caminho de código afetado.
Recomendações
Versão 3.5 do OpenSSL: Evite assinar ou verificar arquivos maiores que 16 MB com algoritmos de assinatura one-shot usando a ferramenta de linha de comando 'openssl dgst'.
Versão 3.6 do OpenSSL: Evite assinar ou verificar arquivos maiores que 16 MB com algoritmos de assinatura one-shot usando a ferramenta de linha de comando 'openssl dgst'.
Correção
DoS
Improper Verification of Cryptographic Signature
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Freebsd
Linuxmint
Openssl
Rocky Linux
Ubuntu