OpenSSL: 12 Sicherheitslecks, eines erlaubt Schadcodeausführung und ist kritisch

In der quelloffenen Verschlüsselungsbibliothek OpenSSL haben IT-Forscher 12 Sicherheitslücken entdeckt, eine davon gilt als kritisch. Angreifer können dadurch etwa Schadcode einschleusen. Bemerkenswert ist auch, dass die IT-Sicherheitsforscher die Schwachstellen mit KI-Systemen aufgespürt haben.

Das berichten die Mitarbeiter von Aisle in einem Blog-Beitrag. Ein Stack-basierter Pufferüberlauf kann beim Verarbeiten von „CMS AuthEnvelopeData“-Nachrichten mit bösartig manipulierten AEAD-Parametern durch verwundbare OpenSSL-Versionen auftreten. Das führt unter Umständen zu einem Absturz und dadurch zu einem Denial-of-Service; alkternativ kann jedoch auch Schadcode aus dem Netz zur Ausführung gelangen, erklärt das OpenSSL-Projekt in der Schwachstellenbeschreibung. Der Überlauf tritt vor einer Authentifizierung auf, es sind daher keine gültigen Keys oder Bestandteile davon nötig (CVE-2025-15467, CVSS 9.8, Risiko „kritisch“). Die US-amerikanische IT-Sicherheitsbehörde CISA kommt zu der höheren Risikoeinschätzung – das OpenSSL-Projekt selbst stuft das Sicherheitsleck lediglich als Risiko „hoch“ ein.

Eine zweite Sicherheitslücke besteht in der fehlenden Überprüfung einiger Parameter in PKCS#12-Zertifikatsdateien. Sorgsam präparierte Einträge können einen Stack-basierten Pufferüberlauf oder eine Null-Pointer-Dereferenz mit anschließendem Absturz der Software auslösen oder möglicherweise eingeschleusten Schadcode ausführen. Da es unüblich ist, nicht vertrauenswürdigen PKCS#12-Dateien in Apps zu vertrauen, da sie in der Regel private Schlüssel beherbergen, stufen die OpenSSL-Entwickler die Lücke als moderat ein (CVE-2025-11187, CVSS 6.1, Risiko „mittel“).

OpenSSL: Viele Lücken mit niedrigem Risiko

Die restlichen zehn Schwachstellen wurden lediglich als niedriges Sicherheitsrisiko eingestuft: Die Sicherheitslecks mit den Schwachstelleneinträgen CVE-2025-15468, CVE-2025-15469, CVE-2025-66199, CVE-2025-68160, CVE-2025-69418, CVE-2025-69419, CVE-2025-69420, CVE-2025-69421, CVE-2026-22795 und CVE-2026-22796 können Angreifer im Wesentlichen für Denial-of-Service-Angriffe missbrauchen.

Die Sicherheitslücken stopfen die OpenSSL-Versionen 3.6.1, 3.5.5, 3.4.4, 3.3.6 und 3.0.19. Einige der als niedriges Risiko eingestuften Lücken betreffen auch ältere Versionen, dort sollen OpenSSL 1.1.1ze und OpenSSL 1.0.2zn für Premium-Support-Kunden bereitstehen. IT-Verantwortliche sollten aufgrund der kritischen Sicherheitslücke die Updates zügig installieren.

Dass die Schwachstellen mittels KI-Tools von Aisle entdeckt wurden, überrascht ein wenig. Das curl-Projekt hat etwa sein Bug-Bounty-Programm eingestellt, da es von unbrauchbaren KI-Schwachstellenmeldungen überflutet wurde. Der Aufwand, die teils plausibel klingenden Meldungen zu untersuchen und am Ende herauszufinden, dass es sich um Halluzinationen oder einfach erschwindelte Lücken handelte, uferte zu sehr aus.

(dmk)