來自 Red Hat 安全性公告 2015:1115：

現已提供適用於 Red Hat Enterprise Linux 6 和 7 的更新版 openssl 套件，可修正多個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

OpenSSL 不但是實作「安全通訊端層」(SSL v2/v3) 和「傳輸層安全性」(TLS v1) 通訊協定的工具組，還是一套完整的通用密碼編譯程式庫。

在 OpenSSL 處理某些 DTLS 交握訊息的方式中發現無效釋放瑕疵。惡意的 DTLS 用戶端或伺服器可導致使用 OpenSSL 的 DTLS 伺服器或用戶端當機，或可能執行任意程式碼。(CVE-2014-8176)

在 Red Hat Enterprise Linux 6 和 7 隨附的 OpenSSL 封包執行 ssleay_rand_bytes() 函式中之鎖定的方式中發現一個瑕疵。此問題可能會導致使用 OpenSSL 的多執行緒應用程式執行超出邊界讀取及損毀。
(CVE-2015-3216)

在 OpenSSL 的 X509_cmp_time() 函式中發現超出邊界讀取瑕疵。特製的 X.509 憑證或憑證撤銷清單 (CRL) 可能導致使用 OpenSSL 的 TLS/SSL 伺服器或用戶端當機。(CVE-2015-1789)

在處理 OpenSSL 程式碼的工作階段中發現一個爭用情形瑕疵。
此問題可能會導致使用 OpenSSL 的多執行緒 TLS/SSL 用戶端重複釋放工作階段票證資料及當機。(CVE-2015-1791)

在 OpenSSL 處理密碼編譯訊息語法 (CMS) 訊息的方式中發現一個瑕疵。具有未知雜湊函式識別碼的 CMS 訊息可能導致使用 OpenSSL 的應用程式進入無限迴圈。(CVE-2015-1792)

在 OpenSSL 處理某些 PKCS#7 輸入的方式中，發現一個 NULL 指標解除參照瑕疵。具有遺漏的 EncryptedContent 資料的特製 PKCS#7 輸入可導致使用 OpenSSL 的應用程式損毀。(CVE-2015-1790)

Red Hat 要感謝 OpenSSL 專案報告 CVE-2014-8176、CVE-2015-1789、CVE-2015-1790、CVE-2015-1791 和 CVE-2015-1792 瑕疵。上游確認 Praveen Kariyanahalli 和 Ivan Fratric 為 CVE-2014-8176 的原始報告者，Robert Swiecki 和 Hanno Böck 為 CVE-2015-1789 的原始報告者，Michal Zalewski 為 CVE-2015-1790 的原始報告者，Emilia Käsper 為 CVE-2015-1791 的原始報告者，以及 Johannes Bauer 為 CVE-2015-1792 的原始報告者。

建議所有 openssl 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。若要使更新生效，連結到 OpenSSL 程式庫的所有服務都必須重新啟動或讓系統重新開機。

偵測

Oracle Linux 6 / 7 : openssl (ELSA-2015-1115)

high Nessus Plugin ID 84202

版本 2.22