已发现使用 CBC 模式加密套件时，OpenSSL 在解密 TLS/SSL 和 DTLS 协议加密的记录时泄漏了定时信息。远程攻击者可能利用此缺陷，通过将 TLS/SSL 或 DTLS 服务器用作 padding oracle，从加密的数据包检索明文。(CVE-2013-0169)

在 OpenSSL 的 OCSP 响应验证中发现一个空指针取消引用缺陷。恶意 OCSP 服务器可利用此缺陷，通过发送特别构建的响应来导致执行 OCSP 验证的应用程序崩溃。(CVE-2013-0166)

已发现使用可选压缩时，TLS/SSL 协议可泄漏明文的相关信息。能够控制通过加密的 TLS/SSL 连接发送的部分明文的攻击者可能利用此缺陷恢复明文的其他部分。(CVE-2012-4929)

注意：此更新禁用 zlib 压缩，以前 OpenSSL 中默认启用。使用 OpenSSL 的应用程序现在需要明确启用 zlib 压缩才可使用它。

已发现 OpenSSL 即使被特权（setuid 或 setgid）应用程序使用时也会读取某些环境变量。本地攻击者可利用此缺陷来升级其权限。Scientific Linux 5 和 6 随附的应用程序均未受到此问题的影响。

为使更新生效，必须重新启动所有链接到 OpenSSL 库的服务，或重新启动系统。

检测

Scientific Linux 安全更新：SL5.x、SL6.x i386/x86_64 中的 openssl

medium Nessus 插件 ID 65022

版本 1.12