来自 Red Hat 安全公告 2012:0060：

更新后的 openssl 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

OpenSSL 是用于实现安全套接字层 (SSL v2/v3) 和传输层安全 (TLS v1) 协议以及强大的通用密码库的工具包。

发现 OpenSSL 中的数据报传输层安全 (DTLS) 协议实现在执行某些操作时泄漏了定时信息。远程攻击者可能利用此缺陷，通过将 DTLS 服务器作为 padding oracle，从加密数据包检索明文。(CVE-2011-4108)

在 OpenSSL 的策略检查代码中发现双重释放缺陷。远程攻击者可利用此缺陷，通过提供具有特别构建的策略扩展数据的 X.509 证书，导致使用 OpenSSL 的应用程序崩溃。(CVE-2011-4109)

在 OpenSSL 中的 SSL 3.0 协议实现中发现一个信息泄漏缺陷。未正确初始化 SSL 记录填充字节可导致 SSL 客户端或服务器通过加密连接向其 SSL 对等机发送有限的可能敏感的数据。(CVE-2011-4576)

已发现 OpenSSL 未限制支持服务器网关加密所需的 TLS/SSL 握手重启次数。远程攻击者可利用此缺陷，通过持续重新启动握手令使用 OpenSSL 的 TLS/SSL 服务器消耗过量 CPU。(CVE-2011-4619)

所有 OpenSSL 用户应升级这些更新后的程序包，其中包含用于解决这些问题的向后移植的修补程序。为使更新生效，必须重新启动所有链接到 OpenSSL 库的服务，或重新启动系统。

检测

Oracle Linux 5：openssl (ELSA-2012-0060)

high Nessus 插件 ID 68438

未找到变更日志