设为首页收藏本站

ZMX - IT技术交流论坛 - 无限Perfect,追求梦想 - itzmx.com

 找回密码
 注册论坛

QQ登录

只需一步,快速开始

新浪微博账号登陆

只需一步,快速开始

用百度帐号登录

只需两步,快速登录

搜索
查看: 2364|回复: 3

OpenSSL新漏洞曝光:可被用于“中间人”攻击 漏洞更新修复

[复制链接]
 成长值: 219

签到天数: 4698 天

[LV.Master]伴坛终老

发表于 2014/6/6 21:27 | 显示全部楼层 |阅读模式 | Google Chrome 35.0.1916.114| Windows
天涯海角搜一下: 百度 谷歌 360 搜狗 有道 雅虎 必应 即刻
北京时间6月6日早间消息,本周四,OpenSSL基金会发布警告称,一个已存在10年的漏洞可能导致黑客利用通过OpenSSL加密的流量发动“中间人”攻击。
信息安全专家目前仍试图解决OpenSSL加密协议中的“心脏流血”漏洞。根据AVG Virus Labs的数据,目前仍有1.2万个热门域名存在这一漏洞。而根据OpenSSL基金会此次发布的消息,黑客可能利用新漏洞去拦截加密流量,对其进行解密,随后阅读流量中的内容。
OpenSSL的用户被建议安装新的补丁,并升级至OpenSSL软件的最新版本。这一漏洞的发现者是软件公司Lepidum的日本研究员Masashi Kikuchi。Lepidum的网站上显示:“当服务器和客户端都存在漏洞时,攻击者可以窃听及伪造你的通信。”
与能够导致服务器直接受到攻击的“心脏流血”漏洞不同,这一新漏洞要求黑客位于两台通信的计算机之间。例如,使用机场公开WiFi的用户可能成为被攻击目标。
这一漏洞自1998年OpenSSL首次发布以来就一直存在。而“心脏流血”漏洞是在2011年新年OpenSSL进行升级时引入的。
这一漏洞在长达十几年的时间内一直没有被发现,这再次表明了OpenSSL管理的缺陷。OpenSSL是开源的,这意味着任何人都可以对其进行评估及更新。由于这一原因,OpenSSL被认为比某家公司开发的私有代码更安全、更可信。
但实际上,OpenSSL在欧洲只有1名全职开发者,以及3名“核心”的志愿程序员,其运营依靠每年2000美元的捐赠。不过,OpenSSL仍被用于加密全球大部分网站的服务器,并被亚马逊和思科等大公司广泛使用。
在“心脏流血”漏洞被发现之后,包括亚马逊、思科、戴尔、Facebook、富士通、谷歌、IBM、英特尔、微软、NetApp、Rackspace、高通和VMware在内的公司都承诺在未来3年内每年投入10万美元,用于Core Infrastructure Initiative项目。这一新的开源项目由Linux基金会牵头,用于支撑OpenSSL等关键的开源基础设施。



修复脚本如下


openssl version -a查看版本
  1. wget http://www.openssl.org/source/openssl-1.0.1h.tar.gz
  2. tar -zxvf openssl-1.0.1h.tar.gz
  3. cd openssl-1.0.1h
  4. ./config shared zlib
  5. make
  6. make test
  7. make install
  8. rm -rf /usr/bin/openssl.OFF
  9. mv /usr/bin/openssl /usr/bin/openssl.OFF
  10. rm -rf /usr/include/openssl.OFF
  11. mv /usr/include/openssl /usr/include/openssl.OFF
  12. ln -s /usr/local/ssl/bin/openssl /usr/bin/openssl
  13. ln -s /usr/local/ssl/include/openssl /usr/include/openssl
  14. echo "/usr/local/ssl/lib" >> /etc/ld.so.conf
  15. ldconfig -v
复制代码


欢迎光临IT技术交流论坛:http://bbs.itzmx.com/
回复

使用道具 举报

签到天数: 379 天

[LV.9]以坛为家II

发表于 2014/6/7 08:33 | 显示全部楼层 | Google Chrome 34.0.1847.116| Windows 7
不容易啊,数人之力支撑OpenSSL这么多年
欢迎光临IT技术交流论坛:http://bbs.itzmx.com/
回复 支持 反对

使用道具 举报

 成长值: 219

签到天数: 4698 天

[LV.Master]伴坛终老

发表于 2014/6/7 17:54 | 显示全部楼层 | Google Chrome 35.0.1916.114| Windows
liuda 发表于 2014/6/7 08:33
不容易啊,数人之力支撑OpenSSL这么多年

开发小团队~
欢迎光临IT技术交流论坛:http://bbs.itzmx.com/
回复 支持 反对

使用道具 举报

签到天数: 39 天

[LV.5]常住居民I

发表于 2016/8/16 18:14 | 显示全部楼层 |Google Chrome 45.0.2454.101|Windows 7
本帖最后由 1692615806 于 2016/8/16 18:16 编辑
  1. wget http://www.openssl.org/source/openssl-1.0.2h.tar.gz
  2. tar -zxvf openssl-1.0.2h.tar.gz
  3. cd openssl-1.0.2h
  4. ./config shared zlib
  5. make
  6. make test
  7. make install
  8. rm -rf /usr/bin/openssl.OFF
  9. mv /usr/bin/openssl /usr/bin/openssl.OFF
  10. rm -rf /usr/include/openssl.OFF
  11. mv /usr/include/openssl /usr/include/openssl.OFF
  12. ln -s /usr/local/ssl/bin/openssl /usr/bin/openssl
  13. ln -s /usr/local/ssl/include/openssl /usr/include/openssl
  14. echo "/usr/local/ssl/lib" >> /etc/ld.so.conf
  15. ldconfig -v
复制代码
欢迎光临IT技术交流论坛:http://bbs.itzmx.com/
回复 支持 反对

使用道具 举报

您需要登录后才可以回帖 登录 | 注册论坛 新浪微博账号登陆用百度帐号登录

本版积分规则

手机版|Archiver|Mail me|网站地图|IT技术交流论坛 ( 闽ICP备13013206号-7 )

GMT+8, 2024/11/14 12:48 , Processed in 0.137082 second(s), 24 queries , MemCache On.

Powered by itzmx! X3.4

© 2011- sakura

快速回复 返回顶部 返回列表