openssl - OpenSSL version for Heartbleed

Question

How does one check the version of OpenSSL for the Heartbleed vulnerability on CentOS systems, and what is the procedure for manually updating it?

Answer 1

要检查版本，您应该能够从命令行运行以下命令：

openssl 版本 -v

这应该输出如下内容：

OpenSSL 1.0.1e-fips 2013 年 2 月 11 日

有关受影响的 OpenSSL 版本的信息：

不同版本状态：

OpenSSL 1.0.1 through 1.0.1f (inclusive) are vulnerable
OpenSSL 1.0.1g is NOT vulnerable
OpenSSL 1.0.0 branch is NOT vulnerable
OpenSSL 0.9.8 branch is NOT vulnerable

该漏洞于 2011 年 12 月引入 OpenSSL，自 2012 年 3 月 14 日 OpenSSL 1.0.1 版以来一直存在。2014 年 4 月 7 日发布的 OpenSSL 1.0.1g 修复了该漏洞。

有关 heartbleed 漏洞的更多信息，请访问http://heartbleed.com/

如果您的 CentOS 主机是运行 openssl 的服务器，您只需要更新。如果您担心是客户端连接，openssl 的版本无关紧要，因为漏洞利用取决于服务器端版本，而不是客户端。可以在此处找到一篇关于 heartbleed 漏洞如何工作的优秀博文。

要手动更新 openssl，您可以运行以下命令：

百胜更新openssl

您需要是 root/具有 root 权限才能运行更新。在此处查看有关管理 CentOS 软件包的更多信息