远程 Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.04 主机上安装的多个程序包受到公告 USN-7786-1 中提及的多个漏洞影响。

    Stanislav Fort 发现，OpenSSL 在尝试解密使用基于密码的加密方式加密的 CMS 消息时未正确处理内存。攻击者可能会利用此问题发起拒绝服务攻击，或执行任意代码。(CVE-2025-9230)

    Stanislav Fort 发现，OpenSSL 在 ARM 平台上的 SM2 签名计算中具有时序边信道漏洞。远程攻击者可能利用此问题恢复隐私数据。此问题仅影响 Ubuntu 25.04。(CVE-2025-9231)

    Stanislav Fort 发现，设置 no_proxy 环境变量时，OpenSSL 在 HTTP 请求期间未正确处理内存。攻击者可能会利用此问题发起拒绝服务攻击。此问题仅影响 Ubuntu 25.04。(CVE-2025-9232)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 OpenSSL 版本低于 3.3.5。因此，该软件受到 3.3.5 公告中提及的多个漏洞影响。

  - 问题摘要在 64 位 ARM 平台的 SM2 算法实现中存在时序边信道可能导致私钥远程恢复。影响摘要在 64 位 ARM 平台上SM2 签名计算存在时序边信道可让攻击者恢复私钥。虽然报告者未尝试通过网络进行远程密钥恢复但时序测量会揭示时序信号可能会允许此类攻击。OpenSSL 不直接支持在 TLS 中具有 SM2 密钥的证书因此此 CVE 与大多数 TLS 上下文无关。但是考虑到可以通过自定义提供程序添加对此类证书的支持加上在此类自定义提供程序中私钥可通过远程时序测量来恢复这一事实我们认为这是一个中等严重性问题。 3.5、 3.4、 3.3、 3.2、 3.1 和 3.0 中的 FIPS 模块不受此问题的影响因为 SM2 不是经批准的算法。 (CVE-2025-9231)

  - 问题摘要：如果设置了“no_proxy”环境变量且 HTTP URL 的颁发机构组件的主机部分为 IPv6 地址，则使用 OpenSSL HTTP 客户端 API 函数的应用程序可能触发越界读取。影响摘要越界读取可触发崩溃从而导致应用程序拒绝服务。OpenSSL HTTP 客户端 API 函数可供应用程序直接使用，但 OpenSSL 中的 OCSP 客户端函数和 CMP证书管理协议客户端实现也会使用这些函数。但是这些实现使用的 URL 不可能受到攻击者控制。在此漏洞代码中越界读取只能触发崩溃。
    此外此漏洞需要将攻击者控制的 URL 从应用程序传递到 OpenSSL 函数并且用户必须已设置“no_proxy”环境变量。出于上述原因问题的严重性被评估为“低危”。以下修补程序版本中引入了易受攻击的代码 3.0.16、 3.1.8、 3.2.4、 3.3.3、 3.4.0 和 3.5.0。 3.5、 3.4、 3.3、 3.2、 3.1 和 3.0 中的 FIPS 模块不受此问题的影响因为 HTTP 客户端实现在 OpenSSL FIPS 模块边界之外。 (CVE-2025-9232)

  - 问题摘要尝试解密使用基于密码的加密方式的 CMS 消息的应用程序可触发越界读取和写入。影响摘要此越界读取可能触发崩溃从而导致应用程序拒绝服务。越界写入可造成内存损坏其可造成多种后果包括拒绝服务或执行攻击者提供的代码。
    尽管成功利用此漏洞会造成严重后果，但攻击者成功利用此漏洞的可能性却很低。此外CMS 消息中极少使用基于密码 (PWRI) 的加密支持。因此根据我们的安全策略该问题的严重性被评估为“中危”。 3.5、 3.4、 3.3、 3.2、 3.1 和 3.0 中的 FIPS 模块不受此问题的影响因为 CMS 实现位于 OpenSSL FIPS 模块边界之外。 (CVE-2025-9230)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 OpenSSL 版本低于 3.4.3。因此，该软件受到 3.4.3 公告中提及的多个漏洞影响。

  - 问题摘要在 64 位 ARM 平台的 SM2 算法实现中存在时序边信道可能导致私钥远程恢复。影响摘要在 64 位 ARM 平台上SM2 签名计算存在时序边信道可让攻击者恢复私钥。虽然报告者未尝试通过网络进行远程密钥恢复但时序测量会揭示时序信号可能会允许此类攻击。OpenSSL 不直接支持在 TLS 中具有 SM2 密钥的证书因此此 CVE 与大多数 TLS 上下文无关。但是考虑到可以通过自定义提供程序添加对此类证书的支持加上在此类自定义提供程序中私钥可通过远程时序测量来恢复这一事实我们认为这是一个中等严重性问题。 3.5、 3.4、 3.3、 3.2、 3.1 和 3.0 中的 FIPS 模块不受此问题的影响因为 SM2 不是经批准的算法。 (CVE-2025-9231)

  - 问题摘要：如果设置了“no_proxy”环境变量且 HTTP URL 的颁发机构组件的主机部分为 IPv6 地址，则使用 OpenSSL HTTP 客户端 API 函数的应用程序可能触发越界读取。影响摘要越界读取可触发崩溃从而导致应用程序拒绝服务。OpenSSL HTTP 客户端 API 函数可供应用程序直接使用，但 OpenSSL 中的 OCSP 客户端函数和 CMP证书管理协议客户端实现也会使用这些函数。但是这些实现使用的 URL 不可能受到攻击者控制。在此漏洞代码中越界读取只能触发崩溃。
    此外此漏洞需要将攻击者控制的 URL 从应用程序传递到 OpenSSL 函数并且用户必须已设置“no_proxy”环境变量。出于上述原因问题的严重性被评估为“低危”。以下修补程序版本中引入了易受攻击的代码 3.0.16、 3.1.8、 3.2.4、 3.3.3、 3.4.0 和 3.5.0。 3.5、 3.4、 3.3、 3.2、 3.1 和 3.0 中的 FIPS 模块不受此问题的影响因为 HTTP 客户端实现在 OpenSSL FIPS 模块边界之外。 (CVE-2025-9232)

  - 问题摘要尝试解密使用基于密码的加密方式的 CMS 消息的应用程序可触发越界读取和写入。影响摘要此越界读取可能触发崩溃从而导致应用程序拒绝服务。越界写入可造成内存损坏其可造成多种后果包括拒绝服务或执行攻击者提供的代码。
    尽管成功利用此漏洞会造成严重后果，但攻击者成功利用此漏洞的可能性却很低。此外CMS 消息中极少使用基于密码 (PWRI) 的加密支持。因此根据我们的安全策略该问题的严重性被评估为“中危”。 3.5、 3.4、 3.3、 3.2、 3.1 和 3.0 中的 FIPS 模块不受此问题的影响因为 CMS 实现位于 OpenSSL FIPS 模块边界之外。 (CVE-2025-9230)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 openssl-snapsafe 版本低于 1.0.2k-24。因此，该应用程序受到 ALAS2OPENSSL-SNAPSAFE-2025-008 公告中提及的漏洞的影响。

    问题摘要：应用程序尝试解密使用基于密码的加密方式加密的 CMS 消息可触发越界读取和写入。

    影响摘要此越界读取可能触发崩溃从而导致应用程序拒绝服务。越界写入可造成内存损坏其可造成多种后果包括拒绝服务或执行攻击者提供的代码。

    尽管成功利用此漏洞的后果可能会很严重但攻击者能够执行此漏洞的可能性却很低。此外CMSmessages 中极少使用基于密码 (PWRI) 的加密支持。因此根据我们的安全策略该问题的严重性被评估为中危。

     3.5、 3.4、 3.3、 3.2、 3.1 和 3.0 中的 FIPS 模块不受此问题的影响因为 CMS 实现位于 OpenSSL FIPS 模块边界之外。 (CVE-2025-9230)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 openssl 版本低于 1.1.1zd。因此，该主机受到 SSA:2025-296-01 公告中提及的漏洞的影响。

    为 Slackware 15.0 提供了用于修复安全问题的新 openssl 程序包。

Tenable 已直接从 openssl 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle Essbase 版本缺少 2025 年 10 月关键修补程序更新 (CPU) 中的一个安全修补程序。因此，该应用程序会受到以下漏洞的影响：

  - Oracle Essbase 中的漏洞组件Security and Provisioning (Bouncy Castle Java Library)。支持的版本中受影响的是 21.7.3.0.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTPS 访问网络，从而破坏 Oracle Essbase。成功攻击此漏洞可导致在未经授权的情况下造成 Oracle Essbase 部分拒绝服务部分 DOS。 (CVE-2025-8916)

  - Oracle Essbase 中的漏洞组件Security and Provisioning (Nimbus JOSE+JWT)。支持的版本中受影响的是 21.7.3.0.0。轻松利用的漏洞允许具有网络访问权限的未经身份验证的攻击者通过 HTTP 危害 Oracle Essbase。虽然漏洞存在于 Oracle Essbase 中但攻击也可对其他产品造成重大影响范围变更。成功攻击此漏洞可导致在未经授权的情况下造成 Oracle Essbase 部分拒绝服务部分 DOS。 (CVE-2025-53864)

  - Oracle Essbase 中的漏洞组件：Essbase Web Platform。支持的版本中受影响的是 21.7.3.0.0。可轻松利用的漏洞允许低权限攻击者通过 HTTP 进行网络访问从而破坏 Oracle Essbase。成功攻击此漏洞可导致在未经授权的情况下创建、删除或修改关键数据或所有 Oracle Essbase 可访问数据以及未经授权访问关键数据或完全访问所有 Oracle Essbase 可访问数据。 (CVE-2025-61763) 请注意Nessus 并未针对这些问题进行测试而仅依赖应用程序自我报告的版本号。

因此，该软件受到 ALAS2023-2025-1225 公告中提及的多个漏洞影响。

    问题摘要：应用程序尝试解密使用基于密码的加密方式加密的 CMS 消息可触发越界读取和写入。

    影响摘要此越界读取可能触发崩溃从而导致应用程序拒绝服务。越界写入可造成内存损坏其可造成多种后果包括拒绝服务或执行攻击者提供的代码。

    尽管成功利用此漏洞的后果可能会很严重但攻击者能够执行此漏洞的可能性却很低。此外CMSmessages 中极少使用基于密码 (PWRI) 的加密支持。因此根据我们的安全策略该问题的严重性被评估为中危。

     3.5、 3.4、 3.3、 3.2、 3.1 和 3.0 中的 FIPS 模块不受此问题的影响因为 CMS 实现位于 OpenSSL FIPS 模块边界之外。 (CVE-2025-9230)

    问题摘要：64 位 ARM 平台的 SM2 算法实现中存在时序边信道可能导致允许远程恢复私钥。

    影响摘要64 位 ARM 平台上的 SM2 签名计算存在时序边信道可让攻击者恢复私钥。

    虽然报告者未尝试通过网络进行远程密钥恢复时序测量结果显示可能允许此类攻击的时序信号。

    OpenSSL 不直接支持在 TLS 中具有 SM2 密钥的证书因此此 CVE 与大多数 TLS 上下文无关。但是考虑到可以通过自定义提供程序添加对此类证书的支持加上在此类自定义提供程序上下文中可通过远程时序测量恢复私钥我们认为这是中危问题。

     3.5、 3.4、 3.3、 3.2、 3.1 和 3.0 中的 FIPS 模块不受此问题的影响因为 SM2 不是经批准的算法。 (CVE-2025-9231)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 openssl 版本低于 1.0.2k-24。因此，它受到 ALAS2-2025-3034 公告中提及的一个漏洞影响。

    问题摘要：应用程序尝试解密使用基于密码的加密方式加密的 CMS 消息可触发越界读取和写入。

    影响摘要此越界读取可能触发崩溃从而导致应用程序拒绝服务。越界写入可造成内存损坏其可造成多种后果包括拒绝服务或执行攻击者提供的代码。

    尽管成功利用此漏洞的后果可能会很严重但攻击者能够执行此漏洞的可能性却很低。此外CMSmessages 中极少使用基于密码 (PWRI) 的加密支持。因此根据我们的安全策略该问题的严重性被评估为中危。

     3.5、 3.4、 3.3、 3.2、 3.1 和 3.0 中的 FIPS 模块不受此问题的影响因为 CMS 实现位于 OpenSSL FIPS 模块边界之外。 (CVE-2025-9230)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 OpenSSL 版本低于 1.1.1zd。因此，该应用程序受到 1.1.1zd 公告中提及的一个漏洞影响。

  - 问题摘要：应用程序在尝试解密使用基于密码的加密方式加密的 CMS 消息时，可触发越界读取和写入漏洞。影响摘要：此越界读取漏洞可能会触发应用程序崩溃，进而导致拒绝服务。越界写入漏洞可造成内存损坏，而内存损坏可导致多种后果，包括拒绝服务或执行攻击者提供的代码。
    成功利用此漏洞的后果可能会很严重，但攻击者能够执行此漏洞的可能性很小。此外，CMS 消息中也极少会使用基于密码的 (PWRI) 加密支持。因此，根据我们的安全策略，将此漏洞评为中危问题。3.5、3.4、3.3、3.2、3.1 和 3.0 中的 FIPS 模块不受此问题的影响，因为 CMS 实现在 OpenSSL FIPS 模块边界之外。(CVE-2025-9230)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 OpenSSL 版本低于 3.0.18。因此，该软件受到 3.0.18 公告中提及的多个漏洞影响。

  - 问题摘要：如果设置了“no_proxy”环境变量，且 HTTP URL 颁发机构组件的主机部分是 IPv6 地址，则使用 OpenSSL HTTP 客户端 API 函数的应用程序可能触发越界读取漏洞。影响摘要：此越界读取漏洞可能会触发应用程序崩溃，进而导致拒绝服务。OpenSSL HTTP 客户端 API 函数可供应用程序直接使用，也可供 OpenSSL 中的 OCSP 客户端功能和 CMP（证书管理协议）客户端实现使用。但是，这些实现使用的 URL 不太可能受到攻击者控制。在此包含漏洞的代码中，越界读取问题只能触发程序崩溃。
    此外，攻击该漏洞时需要将攻击者控制的 URL 从应用程序传递至 OpenSSL 函数，并且用户必须设置“no_proxy”环境变量。出于上述原因，我们将该问题的严重性评级为“低危”。以下补丁版本中引入了易受攻击的代码：3.0.16、3.1.8、3.2.4、3.3.3、3.4.0 和 3.5.0。3.5、3.4、3.3、3.2、3.1 和 3.0 中的 FIPS 模块不受此问题影响，因为 HTTP 客户端实现在 OpenSSL FIPS 模块边界之外。(CVE-2025-9232)

  - 问题摘要：应用程序在尝试解密使用基于密码的加密方式加密的 CMS 消息时，可触发越界读取和写入漏洞。影响摘要：此越界读取漏洞可能会触发应用程序崩溃，进而导致拒绝服务。越界写入漏洞可造成内存损坏，而内存损坏可导致多种后果，包括拒绝服务或执行攻击者提供的代码。
    成功利用此漏洞的后果可能会很严重，但攻击者能够执行此漏洞的可能性很小。此外，CMS 消息中也极少会使用基于密码的 (PWRI) 加密支持。因此，根据我们的安全策略，将此漏洞评为中危问题。3.5、3.4、3.3、3.2、3.1 和 3.0 中的 FIPS 模块不受此问题的影响，因为 CMS 实现在 OpenSSL FIPS 模块边界之外。(CVE-2025-9230)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 OpenSSL 版本低于 1.0.2zm。因此，该应用程序受到 1.0.2zm 公告中提及的一个漏洞影响。

  - 问题摘要：应用程序在尝试解密使用基于密码的加密方式加密的 CMS 消息时，可触发越界读取和写入漏洞。影响摘要：此越界读取漏洞可能会触发应用程序崩溃，进而导致拒绝服务。越界写入漏洞可造成内存损坏，而内存损坏可导致多种后果，包括拒绝服务或执行攻击者提供的代码。
    成功利用此漏洞的后果可能会很严重，但攻击者能够执行此漏洞的可能性很小。此外，CMS 消息中也极少会使用基于密码的 (PWRI) 加密支持。因此，根据我们的安全策略，将此漏洞评为中危问题。3.5、3.4、3.3、3.2、3.1 和 3.0 中的 FIPS 模块不受此问题的影响，因为 CMS 实现在 OpenSSL FIPS 模块边界之外。(CVE-2025-9230)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

因此，它受到 ALAS2-2025-3022 公告中提及的一个漏洞影响。

    问题摘要：应用程序尝试解密使用基于密码的加密方式加密的 CMS 消息可触发越界读取和写入。

    影响摘要此越界读取可能触发崩溃从而导致应用程序拒绝服务。越界写入可造成内存损坏其可造成多种后果包括拒绝服务或执行攻击者提供的代码。

    尽管成功利用此漏洞的后果可能会很严重但攻击者能够执行此漏洞的可能性却很低。此外CMSmessages 中极少使用基于密码 (PWRI) 的加密支持。因此根据我们的安全策略该问题的严重性被评估为中危。

     3.5、 3.4、 3.3、 3.2、 3.1 和 3.0 中的 FIPS 模块不受此问题的影响因为 CMS 实现位于 OpenSSL FIPS 模块边界之外。 (CVE-2025-9230)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 openssl11 版本低于 1.1.1zd-1。因此，它受到 ALAS2-2025-3033 公告中提及的一个漏洞影响。

    问题摘要：应用程序尝试解密使用基于密码的加密方式加密的 CMS 消息可触发越界读取和写入。

    影响摘要此越界读取可能触发崩溃从而导致应用程序拒绝服务。越界写入可造成内存损坏其可造成多种后果包括拒绝服务或执行攻击者提供的代码。

    尽管成功利用此漏洞的后果可能会很严重但攻击者能够执行此漏洞的可能性却很低。此外CMSmessages 中极少使用基于密码 (PWRI) 的加密支持。因此根据我们的安全策略该问题的严重性被评估为中危。

     3.5、 3.4、 3.3、 3.2、 3.1 和 3.0 中的 FIPS 模块不受此问题的影响因为 CMS 实现位于 OpenSSL FIPS 模块边界之外。 (CVE-2025-9230)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 OpenSSL 版本低于 3.5.4。因此，该软件受到 3.5.4 公告中提及的多个漏洞影响。

  - 问题摘要在 64 位 ARM 平台的 SM2 算法实现中存在时序边信道可能导致私钥远程恢复。影响摘要在 64 位 ARM 平台上SM2 签名计算存在时序边信道可让攻击者恢复私钥。虽然报告者未尝试通过网络进行远程密钥恢复但时序测量会揭示时序信号可能会允许此类攻击。OpenSSL 不直接支持在 TLS 中具有 SM2 密钥的证书因此此 CVE 与大多数 TLS 上下文无关。但是考虑到可以通过自定义提供程序添加对此类证书的支持加上在此类自定义提供程序中私钥可通过远程时序测量来恢复这一事实我们认为这是一个中等严重性问题。 3.5、 3.4、 3.3、 3.2、 3.1 和 3.0 中的 FIPS 模块不受此问题的影响因为 SM2 不是经批准的算法。 (CVE-2025-9231)

  - 问题摘要：如果设置了“no_proxy”环境变量且 HTTP URL 的颁发机构组件的主机部分为 IPv6 地址，则使用 OpenSSL HTTP 客户端 API 函数的应用程序可能触发越界读取。影响摘要越界读取可触发崩溃从而导致应用程序拒绝服务。OpenSSL HTTP 客户端 API 函数可供应用程序直接使用，但 OpenSSL 中的 OCSP 客户端函数和 CMP证书管理协议客户端实现也会使用这些函数。但是这些实现使用的 URL 不可能受到攻击者控制。在此漏洞代码中越界读取只能触发崩溃。
    此外此漏洞需要将攻击者控制的 URL 从应用程序传递到 OpenSSL 函数并且用户必须已设置“no_proxy”环境变量。出于上述原因问题的严重性被评估为“低危”。以下修补程序版本中引入了易受攻击的代码 3.0.16、 3.1.8、 3.2.4、 3.3.3、 3.4.0 和 3.5.0。 3.5、 3.4、 3.3、 3.2、 3.1 和 3.0 中的 FIPS 模块不受此问题的影响因为 HTTP 客户端实现在 OpenSSL FIPS 模块边界之外。 (CVE-2025-9232)

  - 问题摘要尝试解密使用基于密码的加密方式的 CMS 消息的应用程序可触发越界读取和写入。影响摘要此越界读取可能触发崩溃从而导致应用程序拒绝服务。越界写入可造成内存损坏其可造成多种后果包括拒绝服务或执行攻击者提供的代码。
    尽管成功利用此漏洞会造成严重后果，但攻击者成功利用此漏洞的可能性却很低。此外CMS 消息中极少使用基于密码 (PWRI) 的加密支持。因此根据我们的安全策略该问题的严重性被评估为“中危”。 3.5、 3.4、 3.3、 3.2、 3.1 和 3.0 中的 FIPS 模块不受此问题的影响因为 CMS 实现位于 OpenSSL FIPS 模块边界之外。 (CVE-2025-9230)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 OpenSSL 版本低于 3.2.6。因此，该软件受到 3.2.6 公告中提及的多个漏洞影响。

  - 问题摘要在 64 位 ARM 平台的 SM2 算法实现中存在时序边信道可能导致私钥远程恢复。影响摘要在 64 位 ARM 平台上SM2 签名计算存在时序边信道可让攻击者恢复私钥。虽然报告者未尝试通过网络进行远程密钥恢复但时序测量会揭示时序信号可能会允许此类攻击。OpenSSL 不直接支持在 TLS 中具有 SM2 密钥的证书因此此 CVE 与大多数 TLS 上下文无关。但是考虑到可以通过自定义提供程序添加对此类证书的支持加上在此类自定义提供程序中私钥可通过远程时序测量来恢复这一事实我们认为这是一个中等严重性问题。 3.5、 3.4、 3.3、 3.2、 3.1 和 3.0 中的 FIPS 模块不受此问题的影响因为 SM2 不是经批准的算法。 (CVE-2025-9231)

  - 问题摘要：如果设置了“no_proxy”环境变量且 HTTP URL 的颁发机构组件的主机部分为 IPv6 地址，则使用 OpenSSL HTTP 客户端 API 函数的应用程序可能触发越界读取。影响摘要越界读取可触发崩溃从而导致应用程序拒绝服务。OpenSSL HTTP 客户端 API 函数可供应用程序直接使用，但 OpenSSL 中的 OCSP 客户端函数和 CMP证书管理协议客户端实现也会使用这些函数。但是这些实现使用的 URL 不可能受到攻击者控制。在此漏洞代码中越界读取只能触发崩溃。
    此外此漏洞需要将攻击者控制的 URL 从应用程序传递到 OpenSSL 函数并且用户必须已设置“no_proxy”环境变量。出于上述原因问题的严重性被评估为“低危”。以下修补程序版本中引入了易受攻击的代码 3.0.16、 3.1.8、 3.2.4、 3.3.3、 3.4.0 和 3.5.0。 3.5、 3.4、 3.3、 3.2、 3.1 和 3.0 中的 FIPS 模块不受此问题的影响因为 HTTP 客户端实现在 OpenSSL FIPS 模块边界之外。 (CVE-2025-9232)

  - 问题摘要尝试解密使用基于密码的加密方式的 CMS 消息的应用程序可触发越界读取和写入。影响摘要此越界读取可能触发崩溃从而导致应用程序拒绝服务。越界写入可造成内存损坏其可造成多种后果包括拒绝服务或执行攻击者提供的代码。
    尽管成功利用此漏洞会造成严重后果，但攻击者成功利用此漏洞的可能性却很低。此外CMS 消息中极少使用基于密码 (PWRI) 的加密支持。因此根据我们的安全策略该问题的严重性被评估为“中危”。 3.5、 3.4、 3.3、 3.2、 3.1 和 3.0 中的 FIPS 模块不受此问题的影响因为 CMS 实现位于 OpenSSL FIPS 模块边界之外。 (CVE-2025-9230)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 问题摘要：应用程序在尝试解密使用基于密码的加密方式加密的 CMS 消息时，可触发越界读取和写入漏洞。影响摘要：此越界读取漏洞可能会触发应用程序崩溃，进而导致拒绝服务。越界写入漏洞可造成内存损坏，而内存损坏可导致多种后果，包括拒绝服务或执行攻击者提供的代码。
    成功利用此漏洞的后果可能会很严重，但攻击者能够执行此漏洞的可能性很小。此外，CMS 消息中也极少会使用基于密码的 (PWRI) 加密支持。因此，根据我们的安全策略，将此漏洞评为中危问题。3.5、3.4、3.3、3.2、3.1 和 3.0 中的 FIPS 模块不受此问题的影响，因为 CMS 实现在 OpenSSL FIPS 模块边界之外。(CVE-2025-9230)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包该程序包受到 dsa-6015 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-6015-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 10 月 1 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包openssl CVE ID CVE-2025-9230 CVE-2025-9231 CVE-2025-9232

    在安全套接字层工具包 OpenSSL 中发现了多种漏洞这些漏洞可导致拒绝服务或信息泄露。

    可在上游公告中找到其他详细信息：
    https://openssl-library.org/news/secadv/20250930.txt

    对于旧稳定发行版本 (bookbird)已在版本 3.0.17-1~deb12u3 中修复这些问题。

    对于稳定发行版本 (trixie)已在版本 3.5.1-1+deb13u1 中修复这些问题。

    建议您升级 openssl 程序包。

    如需了解 openssl 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/openssl

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4321 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4321-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 10 月 3 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包openssl 版本 1.1.1w-0+deb11u4 CVE ID CVE-2025-9230

    Stanislav Fort 在解密使用基于密码的加密方式进行加密的 CMS 消息时发现了越界读取和写入问题。

    对于 Debian 11 Bullseye已在版本 1.1.1w-0+deb11u4 中修复此问题。

    建议您升级 openssl 程序包。

    如需了解 openssl 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/openssl

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
266334	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.04：OpenSSL 漏洞 (USN-7786-1)	Nessus	Ubuntu Local Security Checks	2025/10/1	2025/10/3	medium
266293	OpenSSL 3.3.0 < 3.3.5 多个漏洞	Nessus	Web Servers	2025/9/30	2025/10/3	medium
266295	OpenSSL 3.4.0 < 3.4.3 多个漏洞	Nessus	Web Servers	2025/9/30	2025/10/3	medium
270517	Amazon Linux 2 : openssl-snapsafe, --advisory ALAS2OPENSSL-SNAPSAFE-2025-008 (ALASOPENSSL-SNAPSAFE-2025-008)	Nessus	Amazon Linux Local Security Checks	2025/10/15	2025/10/15	high
271272	Slackware Linux 15.0 openssl 漏洞 (SSA: 2025-296-01)	Nessus	Slackware Local Security Checks	2025/10/23	2025/10/23	high
271378	Oracle Essbase 多个漏洞2025 年 10 月 CPU	Nessus	Misc.	2025/10/24	2025/10/25	high
270526	Amazon Linux 2023openssl、openssl-devel、openssl-fips-provider-latest (ALAS2023-2025-1225)	Nessus	Amazon Linux Local Security Checks	2025/10/15	2025/10/15	medium
270550	Amazon Linux 2openssl、 --advisory ALAS2-2025-3034 (ALAS-2025-3034)	Nessus	Amazon Linux Local Security Checks	2025/10/15	2025/10/15	high
266294	OpenSSL 1.1.1 < 1.1.1zd 漏洞	Nessus	Web Servers	2025/9/30	2025/10/3	high
266297	OpenSSL 3.0.0 < 3.0.18 多种漏洞	Nessus	Web Servers	2025/9/30	2025/10/3	high
266318	OpenSSL 1.0.2 < 1.0.2zm 漏洞	Nessus	Web Servers	2025/10/1	2025/10/3	high
270544	Amazon Linux 2：edk2，--advisory ALAS2-2025-3022 (ALAS-2025-3022)	Nessus	Amazon Linux Local Security Checks	2025/10/15	2025/10/15	high
270552	Amazon Linux 2 : openssl11、 --advisory ALAS2-2025-3033 (ALAS-2025-3033)	Nessus	Amazon Linux Local Security Checks	2025/10/15	2025/10/15	high
266298	OpenSSL 3.5.0 < 3.5.4 多个漏洞	Nessus	Web Servers	2025/9/30	2025/10/3	medium
266319	OpenSSL 3.2.0 < 3.2.6 多个漏洞	Nessus	Web Servers	2025/10/1	2025/10/3	medium
266349	Linux Distros 未修补的漏洞：CVE-2025-9230	Nessus	Misc.	2025/10/1	2025/10/27	high
266357	Debian dsa-6015libcrypto3-udeb - 安全更新	Nessus	Debian Local Security Checks	2025/10/1	2025/10/1	medium
266462	Debian dla-4321libcrypto1.1-udeb - 安全更新	Nessus	Debian Local Security Checks	2025/10/3	2025/10/3	high

检测

插件搜索

medium

medium

medium

high

high

high

medium

high

high

high

high

high

high

medium

medium

high

medium

high