OpenSSL 再爆严重安全漏洞 —— CCS 注入

反馈与建议 常见问题
1

073419_yoXz_12.png
OpenSSL 的 ChangeCipherSpec 处理再报严重安全漏洞，该漏洞使得攻击者可以拦截恶意中间节点加密和解密数据,同时迫使使用弱密钥的SSL客户端暴露在恶意节点。当软件使用OpenSSL的受影响版本，通过网页浏览、电子邮件和VPN进行内容和身份验证等加密通讯时会有篡改的风险。受影响的版本包括：[list]
[*]
OpenSSL 1.0.1 through 1.0.1g

[*]
OpenSSL 1.0.0 through 1.0.0l

[*]
all versions before OpenSSL 0.9.8y

[/list]未影响版本：
[list]
[*]
OpenSSL 1.0.1h

[*]
OpenSSL 1.0.0m

[*]
OpenSSL 0.9.8za

[/list]关于该漏洞的详细说明请看这里。

2

ubuntu已经有更新修补这个漏洞了，需要的请及时更新。
具体openssl补丁内容如下：
openssl (1.0.1f-1ubuntu4) utopic; urgency=medium

  • SECURITY UPDATE: arbitrary code execution via DTLS invalid fragment
  • debian/patches/CVE-2014-0195.patch: add consistency check for DTLS
    fragments in ssl/d1_both.c.
  • CVE-2014-0195
  • SECURITY UPDATE: denial of service via DTLS recursion flaw
  • debian/patches/CVE-2014-0221.patch: handle DTLS hello request without
    recursion in ssl/d1_both.c.
  • CVE-2014-0221
  • SECURITY UPDATE: MITM via change cipher spec
  • debian/patches/CVE-2014-0224-1.patch: only accept change cipher spec
    when it is expected in ssl/s3_clnt.c, ssl/s3_pkt.c, ssl/s3_srvr.c,
    ssl/ssl3.h.
  • debian/patches/CVE-2014-0224-2.patch: don’t accept zero length master
    secrets in ssl/s3_pkt.c.
  • debian/patches/CVE-2014-0224-3.patch: allow CCS after resumption in
    ssl/s3_clnt.c.
  • CVE-2014-0224
  • SECURITY UPDATE: denial of service via ECDH null session cert
  • debian/patches/CVE-2014-3470.patch: check session_cert is not NULL
    before dereferencing it in ssl/s3_clnt.c.
  • CVE-2014-3470

– Marc Deslauriers <marc.deslauriers@ubuntu.com> Thu, 05 Jun 2014 08:39:17 -0400

3

可以看到在漏洞被爆出的当天ubuntu的补丁包就出来了，媒体在第二天才开始报道此漏洞。ubuntu的安全补丁很及时啊。。。

4

恩，安全最重要

5

哦？感谢分享！

6

恩，很及时。前天看到一个军事论坛的白痴说linux免费就没人维护，被我打脸了 。