Oracle Linux 5：openssl (ELSA-2014-1653) (POODLE)

low Nessus 插件 ID 78530

语言：

简介

远程 Oracle Linux 主机缺少一个或多个安全更新。

描述

来自 Red Hat 安全公告 2014:1653：

更新后的 openssl 程序包含有用于缓解 CVE-2014-3566 问题的向后移植的修补程序，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。

OpenSSL 是用于实现安全套接字层 (SSL)、传输层安全 (TLS)和数据报传输层安全 (DTLS) 协议以及强大的通用密码库的工具包。

此更新添加了对 TLS 回退信号加密套件值 (TLS_FALLBACK_SCSV) 的支持，在初始连接表明支持的最高协议版本失败时，可使用该支持防止针对使用更低的 SSL/TLS 协议版本进行重新连接的应用程序发动协议降级攻击。

这样可防止将通信强制降级为 SSL 3.0。
已发现使用密码块链接 (CBC) 模式中的块密码套件时，SSL 3.0 协议容易遭受 padding oracle 攻击。此问题识别为 CVE-2014-3566，别名也称为 POODLE。此后的更新中不会处理该 SSL 3.0 协议缺陷；建议用户将其应用程序配置为至少需要 TLS 协议版本 1.0，以保证通信安全。

有关此缺陷的更多信息，请参阅知识库文章，网址是：https://access.redhat.com/articles/1232123

建议所有　OpenSSL 用户升级这些更新后的程序包，其中包含用于缓解 CVE-2014-3566 问题的向后移植的修补程序。
为使更新生效，必须重新启动所有链接到 OpenSSL 库的服务（例如 httpd 和其他已启用 SSL 的服务），或者重新启动系统。