Question

我刚刚使用默认设置安装了Centos 7，我想确定我的openssl版本是否受到心跳影响。我想它不是，因为版本命令显示built on: Mon Dec 14 05:15:47 UTC 2015并且大多数易受攻击的版本都是在2013年制作的。

无论如何，这是命令的完整输出：

OpenSSL 1.0.1e-fips 11 Feb 2013
built on: Mon Dec 14 05:15:47 UTC 2015
platform: linux-x86_64
options:  bn(64,64) md2(int) rc4(16x,int) des(idx,cisc,16,int) idea(int) blowfish(idx)
compiler: gcc -fPIC -DOPENSSL_PIC -DZLIB -DOPENSSL_THREADS -D_REENTRANT -DDSO_DLFCN -DHAVE_DLFCN_H -DKRB5_MIT -m64 -DL_ENDIAN -DTERMIO -Wall -O2 -g -pipe -Wall -Wp,-D_FORTIFY_SOURCE=2 -fexceptions -fstack-protector-strong --param=ssp-buffer-size=4 -grecord-gcc-switches   -m64 -mtune=generic -Wa,--noexecstack -DPURIFY -DOPENSSL_IA32_SSE2 -DOPENSSL_BN_ASM_MONT -DOPENSSL_BN_ASM_MONT5 -DOPENSSL_BN_ASM_GF2m -DSHA1_ASM -DSHA256_ASM -DSHA512_ASM -DMD5_ASM -DAES_ASM -DVPAES_ASM -DBSAES_ASM -DWHIRLPOOL_ASM -DGHASH_ASM
OPENSSLDIR: "/etc/pki/tls"
engines:  rdrand dynamic

Answer 1

来自https://www.openssl.org/news/vulnerabilities.html

CVE-2014-0160（OpenSSL顾问）2014年4月7日：缺失界限检查可以使用TLS心跳扩展的处理向连接的客户端或服务器显示高达64kB的内存（a.k.a. 心脏出血漏洞）。此问题不影响之前的OpenSSL版本 1.0.1。 Neel Mehta报道。在OpenSSL 1.0.1g中修复（受影响的1.0.1f， 1.0.1e ，1.0.1d，1.0.1c，1.0.1b，1.0.1a，1.0.1）

您的版本为1.0.1e，因此容易受到攻击。升级到至少1.0.1g。

Answer 2

不 - 你不容易受到伤害。安全修复程序被后端移植到由centos管理的1.0.1e软件包。请参阅：https://wiki.centos.org/Security/Heartbleed

我的openssl版本容易受到攻击吗？

2 个答案: