AIX OpenSSL 公告：openssl_advisory2.asc

high Nessus 插件 ID 73560

语言：

简介

远程 AIX 主机正在运行有漏洞的 OpenSSL 版本。

描述

远程主机上运行的 OpenSSL 版本受到以下漏洞的影响：

- OpenSSL 0.9.8h 至 0.9.8q 和 1.0.0 至 1.0.0c 中的 ssl/t1_lib.c 允许远程攻击者通过可触发越界内存访问的畸形 ClientHello 握手消息造成拒绝服务（崩溃），并可能获取使用 OpenSSL 的应用程序中的敏感信息，又称为“OCSP stapling 漏洞”。(CVE-2011-0014)

- OpenSSL 0.9.8f 至 0.9.8o、1.0.0 及 1.0.0a 中的 ssl/t1_lib.c 存在多种争用条件，当 TLS 服务器上启用多线程和内部缓存时，可允许远程攻击者通过可触发基于堆的缓冲区溢出的客户端数据执行任意代码，此漏洞与 (1) TLS 服务器名称扩展以及 (2) 椭圆曲线加密相关。
(CVE-2010-3864)

- 在低于 0.9.8q 的 OpenSSL 以及低于 1.0.0c 的 OpenSSL 1.0.x 中，当 SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG 启用时，未正确防止修改会话缓存中的加密套件，这可允许远程攻击者通过涉及嗅探网络流量的矢量强制降级至非预期的密码，而发现会话标识符。(CVE-2010-4180)

解决方案

AIX 网站上提供可供下载的补丁。

要从 tar 文件解压缩补丁：

zcat openssl.0.9.8.1302.tar.Z | tar xvf - 或 zcat openssl-fips.12.9.8.1302.tar.Z | tar xvf - 或 zcat openssl.0.9.8.808.tar.Z | tar xvf -

重要：如果可能，建议创建系统的 mksysb 备份。继续进行之前，验证其是否可启动并可读取。

要预览补丁的安装：

installp -apYd . openssl

要安装补丁程序包：

installp -aXYd . openssl