OpenSSL 项目报告称：

DTLS SRTP 扩展解析代码中的缺陷允许攻击者发送精心构建的握手消息，造成 OpenSSL 无法释放最多 64k 的内存，从而造成内存泄漏。可在拒绝服务攻击中利用此缺陷。此问题影响 SSL/TLS 和 DTLS 的 OpenSSL 1.0.1 服务器实现（无论是否使用或配置 SRTP）。使用定义的 OPENSSL_NO_SRTP 编译的 OpenSSL 的实现不会受到影响。
[CVE-2014-3513]。

OpenSSL SSL/TLS/DTLS 服务器收到会话票证时，会首先验证该票证的完整性。如果会话票证完整性检查失败，则 OpenSSL 无法释放内存，从而会导致内存泄漏。通过发送大量无效的会话票证，攻击者可在拒绝服务攻击中利用此问题。[CVE-2014-3567]。

OpenSSL 已添加对 TLS_FALLBACK_SCSV 的支持，使应用程序可阻断 MITM 攻击者强制协议降级。

某些客户端应用程序（如浏览器）将使用降级的协议重新连接，以解决旧版服务器中的互操作性缺陷。主动的中间人可利用此漏洞使连接降级到 SSL 3.0，即使连接的两端均支持更高协议也是如此。SSL 3.0 包含许多漏洞，包括 POODLE [CVE-2014-3566]。

以“no-ssl3”作为构建选项来配置 OpenSSL 时，服务器可接受并完成 SSL 3.0 握手，并可对客户端进行配置以将其发送。[CVE-2014-3568]。

检测

FreeBSD：OpenSSL -- 多种漏洞 (03175e62-5494-11e4-9cc1-bc5ff4fb5e7b) (POODLE)

low Nessus 插件 ID 78495

版本 1.24