OpenSSL远程DoS攻击高危漏洞安全预警
更新:TDYUN   时间:2016/9/23 18:03:40
尊敬的天达云用户:
近日OpenSSL发布最新安全更新公告,修复了多个安全漏洞,其中存在1个远程DoS攻击高危漏洞,危害极大。请您及时更新使用的OpenSSL版本。
天达云团队已经开启应急跟踪,紧急实施产品升级和防护方案。
影响范围
OpenSSL 0.9.8h through 0.9.8v
OpenSSL 1.0.1 through 1.0.1t
OpenSSL 1.0.2 through 1.0.2h
OpenSSL 1.1.0
修复方案
升级OpenSSL到官网发布的最新版本:
OpenSSL 1.0.1u
OpenSSL 1.0.2i
OpenSSL 1.1.0a
备注:OpenSSL 1.0.1系列版本的维护更新将在2016年12月31日结束
漏洞详情
CVE-2016-6304:OpenSSL OCSP 状态请求扩展存在严重漏洞,该漏洞令恶意客户端能耗尽服务器内存。利用该漏洞,能使默认配置的服务器在每次协议重商时分配一段 OCSP ids 内存,不断重复协商可无限消耗服务器内存,即使服务器并未配置 OCSP。攻击者利用漏洞可使服务器内存开销过大,导致业务对外拒绝服务。
【检测方法】
执行如下命令查看本机安装openssl版本是否在影响范围之内:
openssl version
参考链接
https://www.openssl.org/source/
https://www.openssl.org/news/secadv/20160922.txt
http://www.ubuntu.com/usn/usn-3087-1

400-801-9461
7 * 24小时全天全国服务热线400电话