Como corrigir a vulnerabilidade [CVE-2014-0224] no OpenSSL?

Question

Eu recebi um aviso da autoridade que gerou meu certificado, ele diz que há bug no OpenSSL e foi encontrado afetando as versões 1.0.1.

Pelo que entendi, tenho que atualizar para 1.0.1h para corrigir esse bug.

Esta é a primeira vez que lidei com essas coisas e estou preocupado sobre como isso afetará o meu servidor.

Preciso reiniciar serviços? E o que exatamente? Eu tenho que ter certeza que isso não vai demorar muito.

    

Answer 1

A resposta dada não responde à pergunta, e quanto ao pacote mais recente para x86_64 14.04 a informação mais recente sobre o pacote openssl é (se os outros tiverem dificuldade, por favor me avise):

openssl:
  Installed: 1.0.1f-1ubuntu2.3
  Candidate: 1.0.1f-1ubuntu2.3
  Version table:
 *** 1.0.1f-1ubuntu2.3 0
        500 mirror://mirrors.ubuntu.com/mirrors.txt/ trusty-updates/main amd64 Packages
        500 mirror://mirrors.ubuntu.com/mirrors.txt/ trusty-security/main amd64 Packages
        500 http://us.archive.ubuntu.com/ubuntu/ trusty-updates/main amd64 Packages
        500 http://security.ubuntu.com/ubuntu/ trusty-security/main amd64 Packages
        100 /var/lib/dpkg/status
     1.0.1f-1ubuntu2 0
        500 mirror://mirrors.ubuntu.com/mirrors.txt/ trusty/main amd64 Packages
        500 http://us.archive.ubuntu.com/ubuntu/ trusty/main amd64 Packages

Eu andei brincando com a instalação / atualização da versão 1.0.1h de AQUI

***** UPDATE: Então eu encontrei a solução em outro tópico que precisava ser atualizado (post de origem listado abaixo): **

Abaixo da linha de comando única para compilar e instalar a última versão do openssl.

curl https://www.openssl.org/source/openssl-1.0.1h.tar.gz | tar xz && cd openssl-1.0.1h && sudo ./config && sudo make && sudo make install

Substitua o antigo arquivo binário openssl pelo novo através de um symlink. Vá para / usr / bin no terminal e execute o comando abaixo

sudo ln -sf /usr/local/ssl/bin/openssl 'which openssl'

Reinicie e você está pronto para ir. Você pode querer / precisar criar novos certificados. Aqui está o tópico / postagem original que atualizei. FONTE

Minha saída depois de executar comandos e reinicializar:

OpenSSL 1.0.1h 5 Jun 2014
built on: Sat Jun 14 22:43:13 EDT 2014
platform: linux-x86_64
options:  bn(64,64) rc4(16x,int) des(idx,cisc,16,int) idea(int) blowfish(idx) 
compiler: gcc -DOPENSSL_THREADS -D_REENTRANT -DDSO_DLFCN -DHAVE_DLFCN_H -Wa,--noexecstack -m64 -DL_ENDIAN -DTERMIO -O3 -Wall -DOPENSSL_IA32_SSE2 -DOPENSSL_BN_ASM_MONT -DOPENSSL_BN_ASM_MONT5 -DOPENSSL_BN_ASM_GF2m -DSHA1_ASM -DSHA256_ASM -DSHA512_ASM -DMD5_ASM -DAES_ASM -DVPAES_ASM -DBSAES_ASM -DWHIRLPOOL_ASM -DGHASH_ASM
OPENSSLDIR: "/usr/lib/ssl"

    

Answer 2

1. Verifique se você tem uma versão atualmente suportada: 10.04-server, 12.04, 14.04 ou 13.10.

   ~$ lsb_release -a
   No LSB modules are available.
   Distributor ID: Ubuntu
   Description:    Ubuntu 12.04.4 LTS
   Release:    12.04
   Codename:   precise
   

2. Certifique-se de instalar as atualizações mais recentes. sudo apt-get update && sudo apt-get upgrade

3. Verifique. apt-cache policy openssl deve mostrar como versão instalada 1.0.1-4ubuntu5.14 .

   apt-cache policy openssl
   openssl:
     Installed: 1.0.1-4ubuntu5.14
     Candidate: 1.0.1-4ubuntu5.14
     Version table:
    *** 1.0.1-4ubuntu5.14 0
           500 http://archive.ubuntu.com/ubuntu/ precise/main i386 Packages
           500 http://archive.ubuntu.com/ubuntu/ precise-security/main i386 Packages
           500 http://archive.ubuntu.com/ubuntu/ precise-updates/main i386 Packages
           100 /var/lib/dpkg/status
   

4. Reinicie todos os serviços ou o sistema apenas para ter certeza.

Answer 3

A vulnerabilidade afeta os clientes do OpenSSL. Os clientes que usam versões do OpenSSL abaixo de 1.0.1, conectando-se a servidores que executam o OpenSSL versões 1.0.1 e superiores, são vulneráveis e devem ser atualizados.

A equipe do OpenSSL lançou as novas versões .

A única maneira de corrigir isso é instalar pacotes OpenSSL atualizados e reiniciar os serviços afetados. No momento, isso não causa vazamento de informações de certificado ou chave privada.

Para mais informações, consulte aqui