AIX OpenSSL 公告：openssl_advisory6.asc

medium Nessus 插件 ID 73564

语言：

简介

远程 AIX 主机正在运行有漏洞的 OpenSSL 版本。

描述

远程主机上运行的 OpenSSL 版本受到以下漏洞的影响：

- 精心构建的无效 TLS 握手可造成 OpenSSL 因空指针异常而发生崩溃。恶意服务器可利用此缺陷造成连接客户端崩溃。
此问题仅影响 OpenSSL 1.0.1 版本。
(CVE-2013-4353)

- DTLS 处理中的缺陷可造成使用 OpenSSL 和 DTLS 的应用程序崩溃。这不是 1.0.0 之前的 OpenSSL 中的漏洞。OpenSSL 容易遭受拒绝服务攻击，原因是 DTLS 重新传输实现未正确维护摘要和加密上下文的数据结构。远程攻击者可利用此漏洞造成后台程序崩溃。(CVE-2013-6450)

- OpenSSL 中的缺陷可造成使用 OpenSSL 的应用程序在使用 TLS 版本 1.2 时崩溃。此问题仅影响 OpenSSL 1.0.1 版本。OpenSSL 容易受到拒绝服务攻击，原因在于 ssl_get_algorithm2 函数中的错误。远程攻击者可利用此漏洞，从 TLS 1.2 客户端使用特别构建的流量造成后台程序崩溃。(CVE-2013-6449)

解决方案

AIX 网站上提供可供下载的补丁。

要从 tar 文件解压缩补丁：

zcat openssl-1.0.1.501.tar.Z | tar xvf -

重要：如果可能，建议创建系统的 mksysb 备份。继续进行之前，验证其是否可启动并可读取。

要预览补丁的安装：

installp -apYd . openssl

要安装补丁程序包：

installp -aXYd . openssl