OpenSSL 專案報告：

DTLS SRTP 延伸模組剖析程式碼中有一個瑕疵，會允許傳送特製交握訊息的攻擊者造成 OpenSSL 無法釋放 64k 的記憶體，進而造成記憶體洩漏。此問題可在拒絕服務攻擊中遭惡意利用。無論是否已使用或設定 SRTP，此問題會影響 SSL/TLS 和 DTLS 的 OpenSSL 1.0.1 伺服器實作。使用已定義 OPENSSL_NO_SRTP 編譯的 OpenSSL 實作不會受到影響。
[CVE-2014-3513]。

當 OpenSSL SSL/TLS/DTLS 伺服器收到工作階段票證時，會先驗證該票證的完整性。工作階段票證完整性檢查失敗時，OpenSSL 將無法釋放記憶體，進而造成記憶體洩漏。透過傳送大量無效的工作階段票證，攻擊者可在拒絕服務攻擊中惡意利用此問題。[CVE-2014-3567]。

OpenSSL 已新增 TLS_FALLBACK_SCSV 的支援，允許應用程式封鎖 MITM 攻擊者強制通訊協定降級的能力。

部分用戶端應用程式 (例如：瀏覽器) 會使用降級的通訊協定重新連線，以因應舊版伺服器中的互通性錯誤。這可能會導致作用中的攔截式攻擊發動惡意探索，進而將連線降級到 SSL 3.0，即使兩端的連線均支援更高層級的通訊協定也會遭到降級。SSL 3.0 包含一些弱點，其中包括 POODLE [CVE-2014-3566]。

以「no-ssl3」作為版本選項進行 OpenSSL 設定時，伺服器可接受並完成 SSL 3.0 交握，而用戶端可設為傳送交握。[CVE-2014-3568]。

偵測

FreeBSD：OpenSSL -- 多個弱點 (03175e62-5494-11e4-9cc1-bc5ff4fb5e7b) (POODLE)

low Nessus Plugin ID 78495

找不到依附元件