在 OpenSSL 中發現數個弱點。

CVE-2014-3566 ('POODLE')

在加密區塊鏈結 (CBC) 模式下解密使用區塊加密法加密的訊息時，在 SSL 3.0 處理填補位元組的方式中發現一個瑕疵。攔截式 (MITM) 攻擊者若能夠強制受影響的應用程式透過新建立的 SSL 3.0 連線重複傳送相同資料，此瑕疵即可讓其嘗試解密所選的加密文字位元組 256 次。

此更新新增了 Fallback SCSV 支援，以減輕此問題。
這樣也無法修正問題。修正此問題的正確方式為停用 SSL 3.0。

CVE-2014-3567

在 OpenSSL 處理失敗工作階段票證完整性檢查的方式中發現一個記憶體洩漏瑕疵。遠端攻擊者可傳送大量無效的工作階段票證給 SSL/TLS 或 DTLS 伺服器，藉以耗盡該伺服器的所有可用記憶體。

CVE-2014-3568

以「no-ssl3」作為版本選項進行 OpenSSL 設定時，伺服器可接受並完成 SSL 3.0 交握，而用戶端可設為傳送交握。

請注意，Debian 套件未內建此選項。

CVE-2014-3569

若 openssl 是以 no-ssl3 選項構建，且收到了 SSL v3 Client Hello，則 ssl 方法會設為 NULL，這可能導致 NULL 指標解除參照。

請注意，Debian 套件未內建此選項。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-81-1：openssl 安全性更新

high Nessus Plugin ID 82226

找不到變更記錄