GLSA-201404-07：OpenSSL：資訊洩漏

high Nessus Plugin ID 73407

語系：

概要

遠端 Gentoo 主機缺少一個或多個與安全性相關的修補程式。

說明

遠端主機受到 GLSA-201404-07 中所述的弱點影響 (OpenSSL：資訊洩漏)

在 OpenSSL 中發現多個弱點：
OpenSSL 未正確處理 TLS 活動訊號延伸模組中的記憶體，進而導致每個要求的 64kb 資訊洩漏，其中可能包括私密金鑰 (「Heartbleed 錯誤」，僅限 OpenSSL 1.0.1，CVE-2014-0160)。
OpenSSL 的 Montgomery 階梯實作不當處理交換作業 (CVE-2014-0076)。
影響：

遠端攻擊者可惡意利用這些問題洩漏資訊，其中包括私密金鑰或其他敏感資訊，或執行側通道攻擊來取得 ECDSA nonce。
因應措施：

停用 tls-heartbeat USE 旗標 (預設為啟用) 為針對 CVE-2014-0160 問題的因應措施。

解決方案

所有 OpenSSL 使用者皆應升級至最新版本：
# emerge --sync # emerge --ask --oneshot --verbose ‘>=dev-libs/openssl-1.0.1g’ 注意：若要使更新生效，所有透過 OpenSSL 提供 TLS 連線的服務都必須重新啟動。app-admin/lib_users 等公用程式可協助找出使用 OpenSSL 的程式。
由於私密金鑰已被 Heartbleed 攻擊破壞，所以建議重新產生私密金鑰。