GLSA-201503-11：OpenSSL：多种漏洞 (FREAK)

high Nessus 插件 ID 82010

语言：

简介

远程 Gentoo 主机缺少一个或多个与安全有关的修补程序。

描述

远程主机受到 GLSA-201503-11 中所述漏洞的影响（OpenSSL：多种漏洞）

已在 OpenSSL 中发现多种漏洞。请检查下面引用的 CVE 标识符和上游公告以了解详细信息：
RSA 静默地降级至 EXPORT_RSA [客户端]（已重新分类）(CVE-2015-0204) ASN1_TYPE_cmp 中的分段错误 (CVE-2015-0286) ASN.1 结构重用内存损坏 (CVE-2015-0287) X509_to_X509_REQ 空指针取消引用 (CVE-2015-0288) PKCS7 空指针取消引用 (CVE-2015-0289) Base64 解码 (CVE-2015-0292) SSLv2 服务器中通过可访问的断言发生的 DoS (CVE-2015-0293) d2i_ECPrivatekey 错误之后的释放后使用 (CVE-2015-0209) 以下问题仅影响 OpenSSL 1.0.2（不属于受支持的 Gentoo 稳定树）：
OpenSSL 1.0.2 ClientHello sigalgs DoS (CVE-2015-0291) 多分块损坏的指针 (CVE-2015-0290) DTLSv1_listen 中的分段错误 (CVE-2015-0207) 无效 PSS 参数的分段错误 (CVE-2015-0208) 客户端认证和 DHE 空 CKE (CVE-2015-1787) 未设置 PRNG 种子的情况下的握手 (CVE-2015-0285) 影响：

远程攻击者可利用多个矢量造成拒绝服务或信息泄露。
变通方案：

目前无任何已知的变通方案。

解决方案

所有 OpenSSL 1.0.1 用户应升级到最新版本：
# emerge --sync # emerge --ask --oneshot --verbose '>=dev-libs/openssl-1.0.1l-r1' 所有 OpenSSL 0.9.8 用户应升级到最新版本：
# emerge --sync # emerge --ask --oneshot --verbose '>=dev-libs/openssl-0.9.8z_p5-r1' 需要重新启动依赖 OpenSSL 库的程序包才能使升级生效。可能需要重新编译某些程序包。
revdep-rebuild 等工具可协助识别这些程序包的一部分。