☰

거짓 긍정(빨간색)이 나타납니다!

tag-icon • tag-icon ubuntu nginx security openssl heartbleed
거짓 긍정(빨간색)이 나타납니다!

Ubuntu 12.04 서버가 있습니다. OpenSSLHeartbleed 취약점을 수정하기 위해 패키지를 업데이트했습니다 . 하지만 웹 서버와 전체 서버를 다시 시작해도 여전히 취약합니다.

내 취약점을 확인하기 위해 다음을 사용했습니다.

dpkg는 다음을 제공합니다:

dpkg -l |grep openssl
ii  openssl  1.0.1-4ubuntu5.12   Secure Socket Layer (SSL) binary and related cryptographic tools

(launchpad.net/ubuntu/+source/openssl/1.0.1-4ubuntu5.12)

답변1

libssl1.0.0패키지도 업데이트되었는지(해당 패키지에는 실제 라이브러리가 포함되어 있고 openssl패키지에는 도구가 포함되어 있음) 업그레이드 후 라이브러리를 사용하는 모든 서비스가 다시 시작되었는지 확인하세요 .

openssl(service apache restart)을 사용하여 모든 서비스를 다시 시작해야 합니다.

답변2

그것은가능한당신은 위양성 사례입니다.자주하는 질문:

거짓 긍정(빨간색)이 나타납니다!

버튼을 두드리는 사이트에 오류가 발생하지 않는 한 조심하세요. 빨간색이 빨간색이 아니라고 생각할 방법이 없습니다.

메모리 덤프를 확인하세요. 메모리 덤프가 있으면 도구가 어딘가에서 가져온 것입니다.

올바르게 업데이트한 후 모든 프로세스를 다시 시작하면 더 좋아 보일 것이라고 99% 확신한다고 가정해 보겠습니다.

업데이트: 그래도 영향을 받지 않은 버전이 빨간색으로 변한다는 보고가 지속적으로 접수되고 있습니다. 제발문제에 대한 의견영향을 받은 경우. 저는 3가지를 찾고 있습니다: 메모리 덤프(어디에서 왔는지 알아내기 위해), 타임스탬프(가능한 한 정확합니다. 네트워크 탭을 사용해 보세요), 클릭하고 입력한 내용에 대한 완전한 설명입니다.

다음과 같은 다른 도구를 사용하여 사이트를 테스트할 수 있습니다.SSLLabs, 여전히 취약한 것으로 보고되었는지 확인하세요.
또한 문제를 보고해야 합니다.http://filippo.io/Heartbleed위에서 설명한 대로 테스터입니다.

답변3

mod_spdy를 실행 중인 경우 mod_spdy 설치를 업데이트했는지 확인하세요. 보다https://groups.google.com/forum/#!topic/mod-spdy-discuss/EwCowyS1KTU자세한 내용은. mod_spdy deb를 업그레이드하거나 이전 버전을 완전히 제거해야 합니다.

답변4

다음 페이지에 나열된 버그가 발생했을 가능성이 있습니다.자주하는 질문페이지. 특정 상황에서는 패치된 시스템에서도 취약한 알림을 받을 수 있는 것으로 보입니다.

거짓 긍정(빨간색)이 나타납니다!

버튼을 두드리는 사이트에 오류가 발생하지 않는 한 조심하세요. 빨간색이 빨간색이 아니라고 생각할 방법이 없습니다. 메모리 덤프를 확인하세요. 메모리 덤프가 있으면 도구가 어딘가에서 가져온 것입니다. 올바르게 업데이트한 후 모든 프로세스를 다시 시작하면 더 좋아 보일 것이라고 99% 확신한다고 가정해 보겠습니다.

업데이트: 그래도 영향을 받지 않은 버전이 빨간색으로 변한다는 보고가 지속적으로 접수되고 있습니다. 영향을 받은 경우 문제에 대해 의견을 보내주세요. 저는 3가지를 찾고 있습니다: 메모리 덤프(어디에서 왔는지 알아내기 위해), 타임스탬프(가능한 한 정확합니다. 네트워크 탭을 사용해 보세요), 클릭하고 입력한 내용에 대한 완전한 설명입니다.

다음과 같은 대체 테스트로 테스트하는 것이 좋습니다.퀄리스시스템이 더 이상 취약하지 않은지 확인합니다. 만약 그 곳으로 향하지 않는다면Github그리고 신고하세요.

아직도 고장났어

무엇인가요? 귀하가 말하는 "서버"에는 정적 링크 OpenSSl 라이브러리가 있을 수 있습니다. 이는 시스템을 업데이트했더라도 애플리케이션이 여전히 위험에 노출되어 있음을 의미합니다! 패치를 받으려면 즉시 소프트웨어 공급업체에 문의하거나 패치를 받을 때까지 서비스를 꺼야 합니다.

패치가 나올 때까지 서비스를 비활성화해야 합니까?

예, 취약한 서비스를 운영하는 것은 부주의할 정도로 매우 위험합니다! 서버가 전송에서 해독한 데이터가 누출될 수도 있지만 이를 알지도 못할 수도 있습니다!

관련 정보