a. 多個產品的 OpenSSL 更新。

多個產品中的 OpenSSL 程式庫皆已更新至 0.9.8za 與 1.0.1h 版，以解決多個安全性問題。
 Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已指派名稱 CVE-2014-0224、CVE-2014-0198、 CVE-2010-5298、CVE-2014-3470、CVE-2014-0221 和 CVE-2014-0195 給這些問題。這些問題中最重要的是 CVE-2014-0224。

CVE-2014-0198、CVE-2010-5298 與 CVE-2014-3470 被視為中等嚴重性。由於應用程式組態的原因，惡意利用的可能性極低或其影響已減輕。

列於 OpenSSL 安全性公告中的 CVE-2014-0221 與 CVE-2014-0195 (請參閱以下的〈參照〉一節) 不影響任何 VMware 產品。

如果伺服器正在執行容易遭受入侵的 OpenSSL 1.0.1 版，且用戶端正在執行容易遭受入侵的 OpenSSL 0.9.8 或 1.0.1 版，CVE-2014-0224 可能導致攔截式攻擊。更新伺服器將針對伺服器與所有受影響的用戶端減輕此問題。

根據產品是用戶端還是伺服器，以及產品所使用的是哪個版本的 OpenSSL 而定，CVE-2014-0224 對產品造成的影響可能不同。為了可讀性著想，受影響的產品根據不同的用戶端伺服器組態及部署狀況分成了以下 3 個表格。

減輕影響

與已修補或無弱點之伺服器通訊的用戶端不會受到 CVE-2014-0224 的影響。將這些修補程式套用至受影響的伺服器將減輕受影響用戶端的風險 (請參閱以下的表 1)。

若用戶端透過未受信任的網路 (例如公用 Wi-Fi) 與執行容易遭受入侵之 OpenSSL 1.0.1 版的伺服器通訊，可透過使用例如 VPN 之類的安全網路來減輕風險 (請參閱以下的表 2)。
 在隔離網路上部署的用戶端與伺服器比較不容易產生 CVE-2014-0224 的問題 (請參閱以下的表 3)。受影響的產品通常會部署為透過管理網路進行通訊。

建議

現已發佈適用的修補程式，VMware 建議客戶針對下表 1 中的受影響伺服器，進行評估並部署修補程式。修補這些伺服器將使 CVE-2014-0224 中描述的弱點在用戶端與伺服器上都不會遭到惡意利用。

VMware 建議客戶考慮視需要將修補程式套用至表 2 與 3 中列出的產品。

以下表格的欄 4 列有修復各版弱點所需的動作 (若有解決方案可用)。

表 1 ======= 執行容易遭受入侵之 OpenSSL 1.0.1 版的受影響伺服器

偵測

VMSA-2014-0006：VMware 產品更新可解決 OpenSSL 安全性弱點

high Nessus Plugin ID 74465

找不到變更記錄