OpenSSL Seite 3

Für CVE-2019-1563 liegt bei Axis Communications ein Sicherheitshinweis vor. Betroffen ist laut Zuordnung zudem OpenSSL. Nähere technische Details sind in den Quelldaten nicht enthalten. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 3.8 %.

Für Produkte von Axis wird in der Sicherheitsübersicht des Herstellers ein Eintrag zu dieser CVE-ID geführt. Weitere Hersteller und Distributionen (u. a. OpenSSL, Debian (DSA), Microsoft, Oracle (CPU/EBS/PeopleSoft/WebLogic) sowie Siemens Healthineers/ProductCERT) referenzieren die Lücke ebenfalls in ihren Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 3.8 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für Produkte von Axis wird in der Sicherheitsübersicht des Herstellers ein Eintrag zu dieser CVE-ID geführt. Weitere Hersteller (u. a. OpenSSL, HPE Storage, IBM Storage, Pure Storage sowie Siemens Healthineers/ProductCERT) referenzieren die Lücke ebenfalls in ihren Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 3.0 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für die Produkte Axis, Securepoint, OpenSSL und Stormshield wurde eine Sicherheitslücke (CVE-2023-0216) gemeldet. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.8 %.

CVE-2023-0217 wird sowohl in den Sicherheitshinweisen von Axis als auch im Changelog von Securepoint UTM geführt und betrifft eine in beiden Produkten eingesetzte OpenSSL-Komponente. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 1.8 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für Produkte von Axis, Securepoint, OpenSSL und Stormshield wurde eine Sicherheitslücke (CVE-2023-0401) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 1.8 %.

Für die Produkte Axis und OpenSSL wurde eine Sicherheitslücke (CVE-2023-0466) gemeldet. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.6 %.

Auf den Sicherheitshinweis-Seiten von Axis und OpenSSL ist unter dieser CVE-ID jeweils ein Eintrag verzeichnet. Konkrete technische Details zur Schwachstelle, etwa CVSS-Basiswert oder betroffene Versionen, liegen in den vorliegenden Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Ausnutzungswahrscheinlichkeit (EPSS): 1.6 %. Für Details wird auf die Advisories von Axis und OpenSSL verwiesen.

CVE-2022-4203 wird sowohl in den Sicherheitshinweisen von Axis als auch im Changelog von Securepoint UTM geführt und betrifft eine in beiden Produkten eingesetzte OpenSSL-Komponente. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 1.4 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für Axis-Produkte, die OpenSSL einsetzen, wurde eine Sicherheitslücke (CVE-2019-1547) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 1.2 %.

Für Produkte von Axis und OpenSSL wurde die Sicherheitslücke CVE-2025-69421 gemeldet. Nähere technische Details liegen in den Quelldaten nicht vor; ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %.

CVE-2023-4807 wird sowohl in den Sicherheitshinweisen von Axis als auch im Changelog von Securepoint UTM geführt und betrifft eine in beiden Produkten eingesetzte OpenSSL-Komponente. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für Produkte von Axis wurde eine Sicherheitslücke (CVE-2025-69420) gemeldet. Auch OpenSSL führt die Lücke in seinen Sicherheitshinweisen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %.

CPython 3.9 und früher verhindert nicht, dass für SSLContext.set_npn_protocols() eine leere Liste ("[]") konfiguriert wird, was für die zugrunde liegende OpenSSL-API ein ungültiger Wert ist. Dies führt zu einem Pufferüberlesen (Buffer Over-Read). CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Für diese Schwachstelle liegt in den Quelldaten keine detaillierte technische Beschreibung vor; sie wird auf der Sicherheitshinweis-Seite von Axis Communications geführt und betrifft laut Zuordnung auch OpenSSL. Ein CVSS-Basiswert ist nicht vorhanden, ebenso keine Angabe zu aktiver Ausnutzung (CISA KEV) oder Einsatz in Ransomware-Kampagnen. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Weitere Details sind der Axis-Sicherheitshinweis-Seite zu entnehmen.

Eine speziell präparierte, passwortverschlüsselte CMS-Nachricht kann in OpenSSL während der CMS-Entschlüsselung eine NULL-Pointer-Dereferenzierung auslösen. Dies führt zu einem Absturz der Anwendung (Denial of Service). CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: OpenSSL auf eine korrigierte Version aktualisieren.

Für Axis- und OpenSSL-Produkte wurde eine Sicherheitslücke (CVE-2025-69419) gemeldet. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Axis Communications führt OpenSSL in seiner Sicherheitsübersicht als von CVE-2026-22796 betroffenes Produkt. Weitere belegbare Kennzahlen wie CVSS-Basiswert liegen in den Quelldaten derzeit nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In OpenSSL kann ein durch einen Angreifer kontrollierter CMP-Server (Certificate Management Protocol) eine NULL-Pointer-Dereferenzierung in einer CMP-Client-Anwendung auslösen und diese so zum Absturz bringen. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In libssh können bei Verwendung des OpenSSL-Backends fehlerhafte Abschlussprüfungen von AES-GCM den Integritätsschutz faktisch aufheben, sodass ein Angreifer in der Verbindung (in-path) den Klartext verändern kann. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: die bereitgestellten Aktualisierungen der betroffenen Komponente einspielen.

In Golang FIPS OpenSSL kann ein böswilliger Nutzer im FIPS-Modus dafür sorgen, dass eine uninitialisierte Puffer-Längenvariable zusammen mit einem genullten Puffer zurückgegeben wird. Die Quellbeschreibung führt darüber hinaus einen weiteren Effekt an, bricht an dieser Stelle jedoch ab. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Ein Fehler in der Callback-Funktion zur Prüfung des in einer Root-CA-Key-Update-Antwort des Certificate Management Protocol (CMP) übermittelten Zertifikats machte die Zertifikatsvalidierung in OpenSSL unwirksam. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: aktualisierte OpenSSL-Version gemäss Herstellerhinweis einspielen.

Ein bösartiger Server kann TLS-OCSP-Stapling ausnutzen, indem er über die status_request-Extension eine präparierte Antwort ausliefert, die im Client bei der Zertifikatsprüfung ein Double-Free auslöst. CVSS-Basiswert: 5.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf eine bereinigte OpenSSL-Version einspielen.

Die Implementierungen von AES-SIV (RFC 5297) und AES-GCM-SIV (RFC 8452) in OpenSSL behandeln die Authentifizierung zusätzlicher authentifizierter Daten (AAD) bei leerem Ciphertext fehlerhaft, wodurch eine Fälschung möglich wird. CVSS-Basiswert: 4.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Ruft eine Anwendung X509_VERIFY_PARAM_set1_email auf, um eine manipulierte E-Mail-Adresse zu validieren – etwa bei der Prüfung von S/MIME-Nachrichten –, kann in OpenSSL ein Lesezugriff ausserhalb der Grenzen (Out-of-bounds Read) auftreten. CVSS-Basiswert: 6.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf eine fehlerbereinigte OpenSSL-Version aktualisieren.

Für Produkte von Axis wurde eine Sicherheitslücke (CVE-2025-68160) gemeldet. Auch OpenSSL führt die Lücke in seinen Sicherheitshinweisen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Für Axis-Produkte beziehungsweise OpenSSL ist CVE-2026-22795 auf der Sicherheitshinweis-Seite von Axis Communications verzeichnet; die Quelle enthält keine weiterführende technische Beschreibung der Schwachstelle. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Axis führt CVE-2025-69418 in seinen Sicherheitsmeldungen, mit Bezug auf eine zugrundeliegende OpenSSL-Komponente. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In der OpenSSL-TLS-Backend-Implementierung von Qt Network (qtbase) im Qt- Framework (Unix) besteht eine Schwachstelle durch unkontrollierte Suchpfad- Elemente. Ein lokaler Angreifer kann dadurch ein manipuliertes CA-Zertifikat als vertrauenswürdiges Systemzertifikat einschleusen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In der OpenSSL HTTP-Client-API kann ein Out-of-Bounds-Read ausgelöst werden, wenn die Umgebungsvariable „no_proxy” gesetzt ist und der Host-Teil der Authority-Komponente einer URL bestimmte Bedingungen erfüllt. Betroffen sind Anwendungen, die die OpenSSL-HTTP-Client-Funktionen nutzen. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Ein OpenSSL-TLS-1.3-Server verhandelt unter Umständen nicht die erwartete bevorzugte Key-Exchange-Gruppe, wenn seine Konfiguration der Key-Exchange-Gruppen die Voreinstellung über das Schlüsselwort 'DEFAULT' einbindet. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Das SSL-Protokoll 3.0 verwendet in OpenSSL bis Version 1.0.1i nichtdeterministisches CBC-Padding, was Man-in-the-Middle-Angriffe zur Entschlüsselung von Klartextdaten ermöglicht (bekannt als POODLE). CVSS-Basiswert: 3.4 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 100.0 %.

Das TLS-Protokoll 1.2 und früher erlaubt einem Man-in-the-Middle-Angreifer, eine DHE_EXPORT-Verschlüsselung zu erzwingen, wenn der Server diesen schwachen Cipher-Typ unterstützt, auch wenn der Client ihn nicht anfordert. Synology DSM ist betroffen (adressiert in DSM 5.2-5592). CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 99.7 %.

Für Produkte von Axis Communications wurde diese Schwachstelle über die herstellereigene Advisory-Seite gemeldet. Als weiterer Produktbezug ist OpenSSL genannt. Nähere technische Angaben zur betroffenen Komponente liegen in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 4.5 %.

Die Funktionen CMS_decrypt und PKCS7_decrypt in OpenSSL sind anfällig für einen Angriff vom Bleichenbacher-Typ, wenn ein Angreifer die CMS- bzw. S/MIME-Nachrichten bereitstellen und den zurückgegebenen Fehlercode beobachten kann. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine korrigierte OpenSSL-Version aktualisieren.

Wird EVP_PKEY_derive_set_peer() mit einem DHX-Peer-Schlüssel (X9.42) aufgerufen, wird der Peer-Schlüssel nicht korrekt auf Subgruppen-Zugehörigkeit geprüft. Dadurch kann ein bösartiger Peer, der einen entsprechenden Schlüssel präsentiert, die Prüfung umgehen. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Sicherheitsupdate von OpenSSL nach Verfügbarkeit einspielen.