web-dev-qa-db-ja.com

opensslにパッチを適用しましたが、QUALYSはまだCVE-2014-0224に対して脆弱であると言っています

私はCentOS 6.5を搭載したサーバーを実行しており、yum update sslを使用して最近のopenssl更新にパッチを適用し、現在のバージョンに脆弱性に対するパッチがあることを示しています。

$ Sudo rpm -q --changelog openssl | grep CVE-2014-0224
- fix CVE-2014-0224 fix that broke EAP-FAST session resumption support
- fix CVE-2014-0224 - SSL/TLS MITM vulnerability

ただし、QUALYSラボスキャン（ https://www.ssllabs.com/ssltest ）は、私が脆弱であることを示しています

このサーバーは、OpenSSL CCSの脆弱性（CVE-2014-0224）に対して脆弱であり、悪用可能です。グレードをFに設定。

私は途方に暮れています-QUALYSまたはcentos distroおよびrpmフラグを信頼すべきですか？ディストリビューションでない場合は、これはセントースで発生するはずです-彼らのサイトでの私の過去のバグレポートは衰退しました-これが深刻な場合、どうすれば真の注目を得ることができますか？

注：パッチの適用後、関連するすべてのサービスを常に再起動します。

opensslvulnerability-scannersvulnerability
3
user3546411

Opensslに最近パッチが適用され、libsslを使用しているすべてのサービスを再起動していない場合は、opensslパッチを完了するためにマシンを再起動する必要がある場合があります。

次のコマンドを実行すると、libsslを使用しているサービスを確認できます。

lsof | grep -i libssl | grep DEL | awk '{print $1}' | sort | uniq
2
Vadim Sluzky