!.png)
Ich habe einen Ubuntu 12.04-Server. Ich habe das OpenSSLPaket aktualisiert, um die Heartbleed-Sicherheitslücke zu beheben. Aber ich bin immer noch anfällig, obwohl ich den Webserver und sogar den gesamten Server neu gestartet habe.
Um meine Verwundbarkeit zu prüfen, habe ich Folgendes verwendet:
dpkg gibt aus:
dpkg -l |grep openssl
ii openssl 1.0.1-4ubuntu5.12 Secure Socket Layer (SSL) binary and related cryptographic tools
(launchpad.net/ubuntu/+source/openssl/1.0.1-4ubuntu5.12)
Antwort1
Stellen Sie sicher, dass das libssl1.0.0Paket ebenfalls aktualisiert wurde (das Paket enthält die eigentliche Bibliothek, das opensslPaket enthält die Tools) und dass alle Dienste, die die Bibliothek verwenden, nach dem Upgrade neu gestartet wurden.
Sie müssen alle Dienste mit OpenSSL NEU STARTEN (Service Apache Restart).
Antwort2
Es istmöglichSie sind ein falsch positiver Fall, gemäß derFAQ:
Ich bekomme falsche Positivmeldungen (rot)!
Seien Sie vorsichtig, es sei denn, Sie haben die Site durch Drücken der Schaltfläche gestört. Ich kann mir einfach nicht vorstellen, dass ein Rot kein Rot ist.
Überprüfen Sie den Speicherauszug. Wenn er vorhanden ist, hat das Tool ihn irgendwoher bezogen.
Nehmen wir an, ich bin zu 99 % sicher, dass es besser aussehen sollte, wenn Sie nach der korrekten Aktualisierung alle Prozesse neu gestartet haben.
Update: Ich bekomme immer noch regelmäßig Berichte, dass nicht betroffene Versionen rot werden. Bitte kommen SieKommentar zum Themawenn Sie betroffen sind. Ich suche nach 3 Dingen: Speicherauszüge (um herauszufinden, woher sie kamen), Zeitstempel (so genau wie möglich, versuchen Sie es mit der Registerkarte „Netzwerk“), eine vollständige Beschreibung dessen, was Sie angeklickt und eingegeben haben.
Sie können Ihre Site mit einem anderen Tool testen, wieSSLLabsund prüfen Sie, ob Sie immer noch als gefährdet gemeldet werden.
Sie sollten das Problem auch mit demhttp://filippo.io/HeartbleedTester wie oben beschrieben.
Antwort3
Wenn Sie mod_spdy verwenden, aktualisieren Sie unbedingt Ihre mod_spdy-Installation. Siehehttps://groups.google.com/forum/#!topic/mod-spdy-discuss/EwCowyS1KTUfür Details. Sie müssen entweder das mod_spdy-Deb aktualisieren oder die vorherige Version vollständig entfernen.
Antwort4
Möglicherweise liegt bei Ihnen der in der folgenden Tabelle aufgeführte Fehler vor.FAQSeite. Es scheint, dass Sie unter bestimmten Umständen sogar auf einem gepatchten System eine Benachrichtigung über eine Sicherheitslücke erhalten können.
Ich bekomme falsche Positivmeldungen (rot)!
Seien Sie vorsichtig, es sei denn, Sie haben die Site durch Drücken der Schaltfläche gestört, ich kann mir nicht vorstellen, dass ein Rot nicht gleich Rot ist. Überprüfen Sie den Speicherauszug. Wenn er da ist, hat das Tool ihn von irgendwoher. Nehmen wir an, ich bin zu 99 % sicher, dass es besser aussehen sollte, wenn Sie alle Prozesse nach dem korrekten Update neu gestartet haben.
Update: Ich bekomme immer noch regelmäßig Berichte, dass nicht betroffene Versionen rot werden. Bitte kommentieren Sie das Problem, wenn Sie betroffen sind. Ich suche nach drei Dingen: Speicherauszüge (um herauszufinden, woher sie kamen), Zeitstempel (so genau wie möglich, versuchen Sie es mit der Registerkarte „Netzwerk“) und eine vollständige Beschreibung dessen, was Sie angeklickt und eingegeben haben.
Ich würde vorschlagen, mit einem alternativen Test zu testen, wie zum BeispielQualysum zu bestätigen, dass Ihr System nicht mehr anfällig ist. Wenn nicht, gehen Sie zuGithubund melde es.
Es ist immer noch kaputt
Was ist das? Der „Server“, von dem Sie sprechen, verfügt möglicherweise über eine statisch verknüpfte OpenSSL-Bibliothek. Das bedeutet, dass Ihre Anwendung trotz der Aktualisierung Ihres Systems immer noch gefährdet ist! Sie müssen sich umgehend an den Softwareanbieter wenden, um einen Patch zu erhalten, oder den Dienst deaktivieren, bis Sie einen Patch erhalten.
Muss ich den Dienst wirklich deaktivieren, bis der Patch verfügbar ist?
Ja, der Betrieb eines anfälligen Dienstes ist extrem gefährlich und kann sogar fahrlässig sein! Sie könnten alle Daten, die der Server beim Transport entschlüsselt, weitergeben, ohne es zu wissen!