GLSA-201603-15：OpenSSL：多個弱點 (DROWN)

critical Nessus Plugin ID 90053

語系：

概要

遠端 Gentoo 主機缺少一個或多個與安全性相關的修補程式。

說明

遠端主機受到 GLSA-201603-15 中所述的弱點影響 (OpenSSL：多個弱點)

在 OpenSSL 中發現多個弱點，其中最嚴重的是稱為 DROWN 的跨通訊協定攻擊，其可導致 TLS 工作階段解密。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
影響：

遠端攻擊者可使用支援 SSLv2 和 EXPORT 加密套件的伺服器做為 Bleichenbacher RSA padding oracle，解密 TLS 工作階段，進而造成拒絕服務情形、取得記憶體中的敏感資訊以及 (在罕見情況下) 復原 RSA 金鑰。
因應措施：

DROWN 的因應措施為停用所有 SSL/TLS 伺服器上的 SSLv2 通訊協定。

解決方案

所有 OpenSSL 使用者皆應升級至最新版本：
# emerge --sync # emerge --ask --oneshot --verbose '>=dev-libs/openssl-1.0.2g-r2' 請注意，從 OpenSSL 1.0.2 開始，OpenSSL 專案會在構建時預設停用 SSLv2，以緩解 DROWN 攻擊。由於這項變更會造成依賴 OpenSSL 的某些 Gentoo 套件出現嚴重問題，故 Gentoo 仍提供在構建時啟用 SSLv2 的 OpenSSL。請注意，這不表示您仍容易受到 DROWN 影響，因為 OpenSSL 專案已採取進一步預防措施，且應用程式必須明確要求 SSLv2。我們正在研究逐步淘汰 SSLv2 的移轉路徑，其可確保不會再發生使用者面對的問題。請參照錯誤 576128，深入瞭解做此決策的詳細過程。