OpenSSL corrige 12 fallas atribuidas al analizador de IA de AISLE, entre ellas un desbordamiento de pila grave en CMS

El 27 de enero de 2026, OpenSSL publicó un aviso de seguridad con 12 CVE. El único de severidad alta, CVE-2025-15467, afecta el procesamiento de mensajes CMS AuthEnvelopedData y EnvelopedData que usan cifrados AEAD como AES-GCM: un IV demasiado grande en el mensaje se copia a un búfer fijo en la pila antes de cualquier autenticación, así que no hace falta una clave válida. OpenSSL indica que esto puede tumbar el proceso y, según las protecciones de la plataforma, permitir ejecución remota de código. Las apps que procesan contenido CMS o PKCS#7 no confiable, como S/MIME, están expuestas. Afecta de OpenSSL 3.0 a 3.6; 1.1.1, 1.0.2 y los módulos FIPS no.

El resto son un problema de severidad moderada, CVE-2025-11187, una falla de validación de PBMAC1 al verificar el MAC de PKCS#12 en 3.4 a 3.6, y diez fallas de severidad baja. OpenSSL atribuye los 12 a Aisle Research, y CVE-2025-11187 también lo reportó de forma independiente Hamza, de Metadust. En una publicación del 26 de enero, AISLE afirma que su analizador autónomo encontró los 12, que sus parches propuestos se adoptaron tal cual en cinco casos y que otros seis hallazgos se corrigieron antes de que el código vulnerable llegara a una versión publicada. AISLE también reconoce que los mantenedores de OpenSSL validaron los reportes y desarrollaron las correcciones finales.

Actualiza a OpenSSL 3.6.1, 3.5.5, 3.4.4, 3.3.6 o 3.0.19. Algunos problemas de severidad baja también llegan a 1.1.1 y 1.0.2, corregidos en 1.1.1ze y 1.0.2zn solo para clientes con soporte premium. La mayoría de las empresas no instala OpenSSL directamente: llega con los paquetes del sistema operativo, los runtimes de lenguajes y las imágenes base de contenedores, así que actualiza los paquetes de tu distribución, vuelve a generar las imágenes y reinicia los servicios que lo usan.