GLSA-201404-07：OpenSSL：信息泄露

high Nessus 插件 ID 73407

语言：

简介

远程 Gentoo 主机缺少一个或多个与安全有关的修补程序。

描述

远程主机受到 GLSA-201404-07 中所述漏洞的影响（OpenSSL：信息泄露）

已在 OpenSSL 中发现多种漏洞：
OpenSSL 未正确处理 TLS 心跳扩展中的内存，导致每个请求泄露 64kb 信息，其中可能包括私钥（“Heartbleed 缺陷”，仅 OpenSSL 1.0.1，CVE-2014-0160）。
OpenSSL 的 Montgomery 阶梯实现未正确处理交换操作 (CVE-2014-0076)。
影响：

远程攻击者可利用这些问题泄露信息，包括私钥或其他敏感信息，或者执行边信道攻击以获取 ECDSA 临时信息。
变通方案：

禁用 tls-heartbeat USE 标记（默认启用）是 CVE-2014-0160 问题的变通方案。

解决方案

所有 OpenSSL 用户均应升级到最新版本：
# emerge --sync # emerge --ask --oneshot --verbose ‘>=dev-libs/openssl-1.0.1g’ 注意：必须重新启动所有使用 OpenSSL 提供 TLS 连接的服务才能使更新生效。像 app-admin/lib_users 等实用工具有助于识别使用 OpenSSL 的程序。
因为私钥可能已受到 Heartbleed 攻击的危害，所以建议重新生成它们。