Heartbleed: dist-upgrade não corrigiu

Question

Desculpe pelo meu mau inglês.

Estou executando o Ubuntu 12.04.2 LTS (GNU / Linux 3.2.0-60-virtual x86_64).

Na tentativa de corrigir o Heartbleed, primeiro corri apt-get update e, em seguida, apt-get dist-upgrade .

Tudo correu bem, então pensei que esse problema de segurança foi corrigido.

Mas openssl version -a de saídas:

OpenSSL 1.0.1e 11 Feb 2013
built on: Sat Feb  1 22:14:33 UTC 2014
platform: debian-amd64
options:  bn(64,64) rc4(8x,int) des(idx,cisc,16,int) blowfish(idx) 
compiler: gcc -fPIC -DOPENSSL_PIC -DZLIB -DOPENSSL_THREADS -D_REENTRANT -DDSO_DLFCN -DHAVE_DLFCN_H -m64 -DL_ENDIAN -DTERMIO -g -O2 -fstack-protector --param=ssp-buffer-size=4 -Wformat -Werror=format-security -D_FORTIFY_SOURCE=2 -Wl,-z,relro -Wa,--noexecstack -Wall -DMD32_REG_T=int -DOPENSSL_IA32_SSE2 -DOPENSSL_BN_ASM_MONT -DOPENSSL_BN_ASM_MONT5 -DOPENSSL_BN_ASM_GF2m -DSHA1_ASM -DSHA256_ASM -DSHA512_ASM -DMD5_ASM -DAES_ASM -DVPAES_ASM -DBSAES_ASM -DWHIRLPOOL_ASM -DGHASH_ASM

OPENSSLDIR: "/usr/lib/ssl"

Eu já reiniciei o servidor (tive que substituir sysvinit por upstart após dist-upgrade, senão não pude reinicializar).

Após a reinicialização, apt-get dist-upgrade gera o seguinte:

The following packages will be REMOVED:
  upstart
The following NEW packages will be installed:
  sysvinit
The following packages have been kept back:
  libnih-dbus1 libnih1
0 upgraded, 1 newly installed, 1 to remove and 2 not upgraded.

Bem, de acordo com essa saída, não há nada relacionado a ssl para atualizar. Mas openssl version -a continua exibindo a mesma versão antiga de fevereiro.

Então, minha pergunta é por que meu sistema ainda está executando a versão antiga do openssl?

Obrigado pela sua ajuda.

    

Answer 1

Consegui corrigir o problema!

Por algum motivo, apt-get update não estava ciente dos novos pacotes de segurança (embora o repositório de segurança do Ubuntu esteja corretamente listado em my sources.list).

O que eu tive que fazer foi baixar manualmente os seguintes arquivos deb, e depois instalá-los manualmente.

Lista de pacotes que eu tive que baixar e instalar

64 bits

• openssl: link
• libssl1.0.0: link
• libssl-dev: link

32 bits

• link

• link

• link

O comando a seguir instalará um pacote deb baixado manualmente:

sudo dpkg -i package_name.deb

Depois de instalar todos os 3 pacotes e reiniciar o servidor, o problema já está resolvido!

(Saída do link .)

    

Answer 2

Eu estava na mesma situação e encontrei uma solução mais simples (para 12.04 LTS):

sudo apt-get instalar openssl = 1.0.1-4ubuntu5.12 libssl1.0.0 = 1.0.1-4ubuntu5.12 libssl-dev = 1.0.1-4ubuntu5.12

Isso me pede para DOWNGRADE estes pacotes, e respondendo sim, os pacotes são atualizados.

Parece que os pacotes openssl de uma distribuição mais recente do Ubuntu (quantal ou algo parecido) são inseridos em minha instalação quando eu tentei obter algum pacote da distribuição. Como os repositórios de segurança em sources.list estão apontados como precisos, os pacotes das distribuições mais recentes não podem ser atualizados pelo apt-get dist-upgrade.