在 openssl 中發現多個弱點並已更正：

OpenSSL 已新增 TLS_FALLBACK_SCSV 的支援，允許應用程式封鎖 MITM 攻擊者強制通訊協定降級的能力。部分用戶端應用程式 (例如：瀏覽器) 會使用降級的通訊協定重新連線，以因應舊版伺服器中的互通性錯誤。這可能會導致作用中的攔截式攻擊發動惡意探索，進而將連線降級到 SSL 3.0，即使兩端的連線均支援更高層級的通訊協定也會遭到降級。SSL 3.0 包含一些弱點，其中包括 POODLE (CVE-2014-3566)。

當 OpenSSL SSL/TLS/DTLS 伺服器收到工作階段票證時，會先驗證該票證的完整性。工作階段票證完整性檢查失敗時，OpenSSL 將無法釋放記憶體，進而造成記憶體洩漏。透過傳送大量無效的工作階段票證，攻擊者可在拒絕服務攻擊中惡意利用此問題 (CVE-2014-3567)。

更新版套件已升級至 1.0.0o 版，這些安全性瑕疵都已修正。

偵測

Mandriva Linux 安全性公告：openssl (MDVSA-2014:203)

high Nessus Plugin ID 78665

版本 1.19