glassfish-3 - GlassFish 3 是否使用 OpenSSL 进行加密？

Question

GlassFish 3 是否使用 OpenSSL 进行加密？我们的安全人员担心 Heartbleed 漏洞。

Answer 1

应该区分开源版和 Oracle 版。后者对 Heartbleed 漏洞的回答是否定的，但是 Oracle Glassfish 版本确实以某种方式使用了 OpenSSL：

http://www.oracle.com/technetwork/topics/security/opensslheartbleedcve-2014-0160-2188454.html

1.0使用 OpenSSL时不受 CVE-2014-0160 约束的Oracle 产品

...

Oracle GlassFish Server 3.xx [产品 ID 8493]

...

Sun GlassFish Enterprise Server 2.x [产品 ID 8493]

此产品中的 OpenSSL 版本必须是旧版本。

Answer 2

Glassfish 不使用 OpenSSL，它使用JSSE。

但是，有时在生产中 GlassFish 是在 Apache 或 Nginx 服务器后面运行的，在这种情况下您显然会受到攻击，因为它们使用 OpenSSL。