-1

我正在使用 openssl-0.9.8e-22.el5_11 运行 centos 5.7，它受到 poodle 漏洞的影响。因此，为了解决这个问题，我将我的 openssl 版本升级到了 openssl-0.9.8e-31.el5_11。

我已经确认通过使用更改日志可以在上述版本中修复贵宾犬漏洞。

[root]# rpm -qa --changelog openssl | grep CVE
- add support for fallback SCSV to partially mitigate CVE-2014-3566
- fix CVE-2014-0221 - recursion in DTLS code leading to DoS
- fix CVE-2014-3505 - doublefree in DTLS packet processing
- fix CVE-2014-3506 - avoid memory exhaustion in DTLS
- fix CVE-2014-3508 - fix OID handling to avoid information leak

但是，根据以下测试，我的系统仍然使用 SSLv3。

[root]# nmap --script ssl-enum-ciphers -p 443 10.197.65.190

Starting Nmap 5.51
Nmap scan report for 10.197.65.190
Host is up (0.00071s latency).
PORT STATE SERVICE
443/tcp open
| ssl-enum-ciphers:
| SSLv3
| Ciphers (
| TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA
| TLS_DHE_RSA_WITH_AES_128_CBC_SHA
| TLS_DHE_RSA_WITH_AES_256_CBC_SHA
| TLS_RSA_WITH_3DES_EDE_CBC_SHA
| TLS_RSA_WITH_AES_128_CBC_SHA
| TLS_RSA_WITH_AES_256_CBC_SHA
| TLS_RSA_WITH_RC4_128_MD5
| TLS_RSA_WITH_RC4_128_SHA
| Compressors (1)
| uncompressed
| TLSv1.0
| Ciphers (
| TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA
| TLS_DHE_RSA_WITH_AES_128_CBC_SHA
| TLS_DHE_RSA_WITH_AES_256_CBC_SHA
| TLS_RSA_WITH_3DES_EDE_CBC_SHA
| TLS_RSA_WITH_AES_128_CBC_SHA
| TLS_RSA_WITH_AES_256_CBC_SHA
| TLS_RSA_WITH_RC4_128_MD5
| TLS_RSA_WITH_RC4_128_SHA
| Compressors (1)
|_ uncompressed

Nmap 完成：1.28 秒内扫描 1 个 IP 地址（1 个主机启动）

我在这里有点困惑。openssl-0.9.8e-31.el5_11 中是否修复了真正的贵宾犬漏洞。

对此的任何帮助将不胜感激。

4

1 回答 1

1

openssl 的升级不会修复 POODLE，因为 POODLE 是 SSL 3.0 中的设计缺陷，而不是 OpenSSL 中的错误。升级所做的只是添加一个选项，该选项可用作服务器来检测客户端的协议降级尝试。

真正的解决方法是在所有使用 OpenSSL 库的应用程序中禁用 SSL 3.0。

于 2014-11-03T14:20:23.267 回答