Уязвимость пуделя в Centos 5

Question

Я бегу centos 5.7 с openssl-0.9.8e-22.el5_11, и на него влияет уязвимость пуделя. Поэтому для решения этой проблемы я обновил версию openssl до openssl-0.9.8e-31.el5_11.

Я подтвердил, что исправление для уязвимости пуделя доступно в вышеуказанной версии, используя журнал изменений.

[root]# rpm -qa --changelog openssl | grep CVE 
- add support for fallback SCSV to partially mitigate CVE-2014-3566 
- fix CVE-2014-0221 - recursion in DTLS code leading to DoS 
- fix CVE-2014-3505 - doublefree in DTLS packet processing 
- fix CVE-2014-3506 - avoid memory exhaustion in DTLS 
- fix CVE-2014-3508 - fix OID handling to avoid information leak 

Но, тем не менее, моя система использует SSLv3 в соответствии с приведенным ниже тестом.

[root]# nmap --script ssl-enum-ciphers -p 443 10.197.65.190 

Starting Nmap 5.51 
Nmap scan report for 10.197.65.190 
Host is up (0.00071s latency). 
PORT STATE SERVICE 
443/tcp open 
| ssl-enum-ciphers: 
| SSLv3 
| Ciphers (
| TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA 
| TLS_DHE_RSA_WITH_AES_128_CBC_SHA 
| TLS_DHE_RSA_WITH_AES_256_CBC_SHA 
| TLS_RSA_WITH_3DES_EDE_CBC_SHA 
| TLS_RSA_WITH_AES_128_CBC_SHA 
| TLS_RSA_WITH_AES_256_CBC_SHA 
| TLS_RSA_WITH_RC4_128_MD5 
| TLS_RSA_WITH_RC4_128_SHA 
| Compressors (1) 
| uncompressed 
| TLSv1.0 
| Ciphers (
| TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA 
| TLS_DHE_RSA_WITH_AES_128_CBC_SHA 
| TLS_DHE_RSA_WITH_AES_256_CBC_SHA 
| TLS_RSA_WITH_3DES_EDE_CBC_SHA 
| TLS_RSA_WITH_AES_128_CBC_SHA 
| TLS_RSA_WITH_AES_256_CBC_SHA 
| TLS_RSA_WITH_RC4_128_MD5 
| TLS_RSA_WITH_RC4_128_SHA 
| Compressors (1) 
|_ uncompressed 

Nmap сделано: 1 IP адрес (1 хозяин вверх) сканируется в 1,28 секунды

Я получаю немного путают here.Whether действительно пудель уязвимость исправлена ​​в OpenSSL-0.9.8e-31.el5_11 ,

Любая помощь по этому вопросу будет очень полезна.

Answer 1

Никакое обновление для openssl не будет исправлять POODLE, потому что POODLE является ошибкой дизайна в SSL 3.0, а не ошибкой в ​​OpenSSL. Все это обновление - это добавить параметр, который может быть использован серверами для обнаружения попыток понижения протокола клиента.

Настоящим решением является отключить SSL 3.0 во всех приложениях, которые используют библиотеку OpenSSL.