Estou me preparando para corrigir meu servidor (Debian Wheezy), e vai ser um problema porque construí muito dele a partir do código-fonte (Apache 2.4, PHP, MySQL).
Antes de começar a corrigir, gostaria de entender melhor quais serviços OpenSSL são vulneráveis ao vazamento. Obviamente, os serviços HTTP/HTTPS são vulneráveis. E quanto a SMTP, IMAP e POP? SSH? Ou équalquerserviço público que usa as versões afetadas do OpenSSL que devo conhecer?
Meu servidor também possui IPMI/KVM (Supermicro) que utilizo para instalar meu sistema operacional. É acessível via HTTP/HTTPS na mesma máquina, mas com um endereço IP diferente. Eu me pergunto se isso também é vulnerável. Não tenho certeza se o servidor web integrado da Supermicro usa OpenSSL. Nesse caso, posso pedir ao meu provedor de servidor para aplicar quaisquer patches de firmware.
Responder1
Obviamente, os serviços HTTP/HTTPS são vulneráveis.
Só o mais tarde ;)
E quanto a SMTP, IMAP e POP?
Háon-lineedesligadatestes para servidores de e-mail (e servidores web). Se você estiver executando o debian, há uma boa chance de seu software ter sido compilado com uma versão do openSSL < 1.0.1, que é quando a vulnerabilidade começa, então se o binário foi compilado estaticamente (veja abaixo), verifique primeiro desta forma se você não quero me preocupar em reconstruir.
SSH?
O SSH não usa esse recurso, portanto não foi afetado.
Esteja ciente de que no Debian, simplesmente substituir a biblioteca compartilhada não é suficiente, pois por alguma razão, alguns servidores habilitados para OpenSSL parecem ter sido vinculados estaticamente. Para verificar, execute lddno binário. Se você sabe que o aplicativo usa SSL/TLS e não há nenhum link fornecido para libssl ou libgnutls, então ele foi compilado. Se falhar em um dos testes de heartbleed, todo o aplicativo deverá ser reconstruído.