Como atualizar o OpenSSL 1.0.1f no Ubuntu Server 14.04? [duplicado]

Question

Parece que o Ubuntu Server 14.04 lançado hoje inclui o OpenSSL v1.0.1f, que é vulnerável ao bug heartbleed.

Atualizei meus pacotes (apt-get update), mas essa é a versão mais recente disponível.

Como faço para atualizar para o 1.0.1g, então não estou vulnerável?

    

Answer 1

O pacote no Ubuntu 14.04 não é vulnerável. Inclui o patch para corrigir o problema, em vez de uma versão mais recente. Veja no changelog:

openssl (1.0.1f-1ubuntu2) trusty; urgency=medium

  * SECURITY UPDATE: side-channel attack on Montgomery ladder implementation
    - debian/patches/CVE-2014-0076.patch: add and use constant time swap in
      crypto/bn/bn.h, crypto/bn/bn_lib.c, crypto/ec/ec2_mult.c,
      util/libeay.num.
    - CVE-2014-0076
  * SECURITY UPDATE: memory disclosure in TLS heartbeat extension
    - debian/patches/CVE-2014-0160.patch: use correct lengths in
      ssl/d1_both.c, ssl/t1_lib.c.
    - CVE-2014-0160