Istotne wady Ataki czasowe na klucze RSA 14 marca 2003 odnotowano Atak czasowy na klucze RSA, co oznaczało obecność luki w wersjach 0.9.7a oraz 0.9.6. Ta luka została oznaczona kodem CAN-2003-0147 przez projekt Common Vulnerabilities and Exposures. Domyślnie atak na ślepy podpis RSA nie był rejestrowany przez OpenSSL (gdyż atak ten jest trudny do wykonania, gdy za pośrednictwem OpenSSL używany jest protokół SSL lub TLS). Większość serwerów Apache obsługujących SSL było narażonych na ten atak, a także wiele aplikacji OpenSSL’a. Różnice czasowe przy wykonywaniu dodatkowych redukcji oraz wykorzystanie Algorytmu Karacuby i innych algorytmów mnożenia liczb całkowitych oznaczało, iż zdobycie przez atakujących (zdalnie bądź lokalnie) prywatnego klucza serwera było możliwe.
Odmowa dostępu – parsowanie ASN.1 OpenSSL w wersji 0.9.6k miał lukę, gdzie konkrente sekwencje ASN.1 wywoływały dużą ilość rekursji na urządzeniach z systemem Windows, co odkryto 4 listopada 2003. System Windows nie był w stanie prawidłowo obsłużyć dużej liczby rekursji.