OpenSSL CVE-2014-0160 Heartbleed 安全漏洞檢測

标签: News news openssl security ssl | 发表时间:2014-04-10 00:47 | 作者:Tsung
出处:http://blog.longwin.com.tw

OpenSSL 爆發出嚴重的安全性漏洞, 請趕快檢測 + 升級.

OpenSSL CVE-2014-0160 Heartbleed 安全漏洞檢測

關於此次事件, 此篇文章: OpenSSL CVE-2014-0160 Heartbleed 嚴重漏洞, 寫的非常清楚, 在此就不詳述, 再此摘錄部份說明: (感謝 Allen Own)

這個漏洞能讓攻擊者從伺服器記憶體中讀取 64 KB 的資料,利用傳送 heartbeat 的封包給伺服器,在封包中控制變數導致 memcpy 函數複製錯誤的記憶體資料,因而擷取記憶體中可能存在的機敏資料。記憶體中最嚴重可能包含 ssl private key、session cookie、使用者密碼等,因此可能因為這樣的漏洞導致伺服器遭到入侵或取得使用者帳號。

註: 此篇文章非常清楚說明問題、應對措施, 該如何做等等, 在此就不詳述, 只紀錄幾個要做的事情.

Debina / Ubuntu Linux 需要做的事情

  1. dpkg -l | grep openssl # 確認 OpenSSL 版本是否是 openssl 1.0.1e-2+deb7u4 (Debian Wheezy) / openssl 1.0.1-4ubuntu5.11 (Ubuntu 12.04)
  2. 使用下述檢測工具測試
    1. Heartbleed test: Test your server for Heartbleed (CVE-2014-0160)
    2. 自我測試工具: http://s3.jspenguin.org/ssltest.py備份, ex: python ssltest.py ifttt.com
  3. 檢測是否有問題:
    • 有問題, 請到上述文章去看有哪些事情要作.
    • 沒有問題, 請執行套件升級:
      1. apt-get update
      2. apt-get upgrade # 注意 openssl、libssl.
      3. 更新後的版本是:
        • Debian Wheezy: openssl 1.0.1e-2+deb7u6
        • Debian Jessie: openssl 1.0.1g-1
        • Ubuntu 12.04: openssl 1.0.1-4ubuntu5.12
        • Ubuntu 13.10: openssl 1.0.1e-3ubuntu1.2
  4. 注意: OpenSSL 1.0.1 ~ 1.0.1f 和 1.0.2-beta 使用這些版本建出來的 SSL Key 會需要重新產生建立

相關網頁

The post OpenSSL CVE-2014-0160 Heartbleed 安全漏洞檢測 appeared first on Tsung's Blog.

相关 [openssl cve heartbleed] 推荐:

OpenSSL CVE-2014-0160 Heartbleed 安全漏洞檢測

- - Tsung's Blog
OpenSSL 爆發出嚴重的安全性漏洞, 請趕快檢測 + 升級.. OpenSSL CVE-2014-0160 Heartbleed 安全漏洞檢測. 關於此次事件, 此篇文章: OpenSSL CVE-2014-0160 Heartbleed 嚴重漏洞, 寫的非常清楚, 在此就不詳述, 再此摘錄部份說明: (感謝 Allen Own).

漏洞播报:OpenSSL “heartbleed” CVE-2014-0160 安全漏洞附利用测试exp

- - Seay's blog 网络安全博客
测试脚本: http://pan.baidu.com/s/1hq41y9A . OpenSSL官方网站4月7日发布 公告,有研究人员发现OpenSSL 1.0.1和1.0.2-beta版本中存在安全漏洞(编号为CVE-2014-0160),可能暴露密钥和私密通信,应该尽快修补,方法是:. 升级到最新版本OpenSSL 1.0.1g.

heartbleed漏洞检查工具集合

- - FreeBuf.COM
4月9日,一个代号“Heartbleed”(意为“心脏出血”)的重大安全漏洞日前被曝光,它能让攻击者从服务器内存中读取包括用户名、密码和信用卡号等隐私信息在内的数据,本文总结了网友开发的Heartbleed漏洞检查工具,如下:. CVE-2014-0160 check Go语言版: Heartbleed.zip  python版:ssltest.py.

linux下安装nginx、pcre、zlib、openssl

- - CSDN博客推荐文章
1、安装nginx之前需要安装 PCRE库的安装. 最新下载地址   ftp://ftp.csx.cam.ac.uk/pub/software/programming/pcre/. tar –zxvf pcre-8.21.tar.gz,解压目录为:pcre-8.21. 然后进入到 cd pcre-8.21,进行配置、编译、安装.

Google创建OpenSSL分支,宣布BoringSSL

- - Solidot
在OpenBSD创建OpenSSL分支LibreSSL两个月后,Google宣布了它创建的OpenSSL分支BoringSSL. Google安全团队的Adam Langley在个人博客上说,他们使用了超过70个OpenSSL补丁,部分被接受合并到了OpenSSL主库,但大部分没有. 随着Android、Chrome和其它项目开始需要这些补丁的子集,事情日益变得复杂,要保证所有补丁在不同代码库正常工作需要太多精力.

Heartbleed测试网站在数小时内被窃走私钥

- - Solidot
OpenSSL Heartbleed漏洞的危险程度被安全专家称为是“灾难级”,攻击者能利用该漏洞窃走受影响网站的用户密码和私钥,此前的研究发现用户明文密码确实会暴露,但窃取私钥尚未有报道. 云计算公司CloudFlare发起了一个 Heartbleed挑战赛,使用nginx Web服务器和存在漏洞的OpenSSL版本搭建了一个网站,邀请挑战者通过攻击窃取私钥.

免费openssl 生成ssl证书[ssl证书生成]

- - 企业架构 - ITeye博客
[免费openssl生成ssl证书]. 1 概述 ............................................................................................................1. 2 什么是x509证书链 .....................................................................................1.

openssl心脏出血bug的补丁修复

- - 行业应用 - ITeye博客
先到 https://www.openssl.org/source/ 这里下载 openssl-1.0.1g.tar.gz. 已有 0 人发表留言,猛击->> 这里<<-参与讨论. —软件人才免语言低担保 赴美带薪读研.

OpenBSD清理OpenSSL代码 一周递交数百补丁

- - cnBeta.COM
在OpenSSL的高危漏洞Heartbleed曝光之后,鉴于OpenSSL项目人手短缺反应迟钝,下游的OpenBSD项目 发起了清理OpenSSL代码的行动,准备以OpenBSD的安全标准去移除和替换OpenSSL中的不安全代码. OpenBSD的行动是独立发起的,并没有获得OpenSSL项目的配合,它也没有说明是否会将新代码递交到上游的OpenSSL.

解析OpenSSL“心脏流血”:最危险的网站安全漏洞?

- - 创业邦
  美国新闻网站Vox周二撰文,对当天公布的OpenSSL“心脏流血”漏洞进行了全面解读.   SSL是一种流行的加密技术,可以保护用户通过互联网传输的隐私信息. 当用户访问Gmail.com等安全网站时,就会在URL地址旁看到一个“锁”,表明你在该网站上的通讯信息都被加密.   这个“锁”表明,第三方无法读取你与该网站之间的任何通讯信息.