我正在运行带有 openssl-0.9.8e-22.el5_11 的 centos 5.7,它受到 poodle 漏洞的影响。因此,为了解决这个问题,我将我的 openssl 版本升级到了 openssl-0.9.8e-31.el5_11。
我已经使用变更日志确认在上述版本中可以修复 poodle 漏洞。
[root]# rpm -qa --changelog openssl | grep CVE
- add support for fallback SCSV to partially mitigate CVE-2014-3566
- fix CVE-2014-0221 - recursion in DTLS code leading to DoS
- fix CVE-2014-3505 - doublefree in DTLS packet processing
- fix CVE-2014-3506 - avoid memory exhaustion in DTLS
- fix CVE-2014-3508 - fix OID handling to avoid information leak
但是,根据以下测试,我的系统仍然使用 SSLv3。
[root]# nmap --script ssl-enum-ciphers -p 443 10.197.65.190
Starting Nmap 5.51
Nmap scan report for 10.197.65.190
Host is up (0.00071s latency).
PORT STATE SERVICE
443/tcp open
| ssl-enum-ciphers:
| SSLv3
| Ciphers (
| TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA
| TLS_DHE_RSA_WITH_AES_128_CBC_SHA
| TLS_DHE_RSA_WITH_AES_256_CBC_SHA
| TLS_RSA_WITH_3DES_EDE_CBC_SHA
| TLS_RSA_WITH_AES_128_CBC_SHA
| TLS_RSA_WITH_AES_256_CBC_SHA
| TLS_RSA_WITH_RC4_128_MD5
| TLS_RSA_WITH_RC4_128_SHA
| Compressors (1)
| uncompressed
| TLSv1.0
| Ciphers (
| TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA
| TLS_DHE_RSA_WITH_AES_128_CBC_SHA
| TLS_DHE_RSA_WITH_AES_256_CBC_SHA
| TLS_RSA_WITH_3DES_EDE_CBC_SHA
| TLS_RSA_WITH_AES_128_CBC_SHA
| TLS_RSA_WITH_AES_256_CBC_SHA
| TLS_RSA_WITH_RC4_128_MD5
| TLS_RSA_WITH_RC4_128_SHA
| Compressors (1)
|_ uncompressed
Nmap 完成:在 1.28 秒内扫描了 1 个 IP 地址(1 个主机启动)
我在这里有点困惑。是否真的在 openssl-0.9.8e-31.el5_11 中修复了 poodle 漏洞。
在此方面的任何帮助都将不胜感激。
最佳答案
openssl 的升级不会修复 POODLE,因为 POODLE 是 SSL 3.0 中的设计缺陷,而不是 OpenSSL 中的错误。升级所做的只是添加一个选项,该选项可能被服务器用来检测客户端的协议(protocol)降级尝试。
真正的解决方法是在所有使用 OpenSSL 库的应用程序中禁用 SSL 3.0。
关于linux - Centos 5 中的 Poodle 漏洞,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/26714991/