CentOS 5 : openssl (CESA-2014:1653) (POODLE)

low Nessus Plugin ID 78517

語系：

概要

遠端 CentOS 主機缺少一個或多個安全性更新。

說明

現已提供適用於 Red Hat Enterprise Linux 5 的更新版 openssl 套件，內含可減輕 CVE-2014-3566 問題的反向移植修補程式。

Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。

OpenSSL 不但是實作「安全通訊端層」(SSL)、「傳輸層安全性」(TLS) 與「資料包傳輸層安全性」 (DTLS) 通訊協定的工具組，還是一套完整的通用密碼編譯程式庫。

此更新新增了 TLS 遞補訊號加密套件值 (TLS_FALLBACK_SCSV) 的支援，其可用於防止對應用程式發動通訊協定降級攻擊，該應用程式在指定最高支援通訊協定版本的初次連線失敗時，會使用較舊的 SSL/TLS 通訊協定版本重新連線。

這可阻止強制降級與 SSL 3.0 的通訊。
據發現，在加密區塊鏈結 (CBC) 模式下使用區塊加密套件時，SSL 3.0 通訊協定容易受到 padding oracle 攻擊。此問題識別為 CVE-2014-3566，別名又稱為 POODLE。未來的更新不會解決這個 SSL 3.0 通訊協定瑕疵；為了安全通訊，建議使用者將其應用程式設為至少需要 TLS 通訊協定 1.0 版。

如需有關此瑕疵的其他資訊，請參閱知識庫文章，網址為：https://access.redhat.com/articles/1232123

建議所有 OpenSSL 使用者皆升級至這些更新版套件，其中包含可減輕 CVE-2014-3566 問題的反向移植修補程式。
若要使更新生效，連結到 OpenSSL 程式庫的所有服務 (如 httpd 和其他啟用 SSL 的服務) 都必須重新啟動或系統重新開機。