已发现 Debian 和 Ubuntu 系统上的 OpenSSL 使用的随机数发生器中存在漏洞。由于此漏洞，某些加密密钥超出了其本应具有的普遍性，略微了解系统的攻击者便可通过暴力破解猜出密钥。此漏洞尤其影响 OpenSSH、OpenVPN 和 SSL 证书中加密密钥的使用。

此漏洞只影响基于 Debian 的操作系统（例如 Ubuntu）。但导入弱密钥的其他系统也可受到间接影响。

我们将此视为极为严重的漏洞，强烈建议所有用户立即采取措施保护其系统安全。(CVE-2008-0166)

== 受影响者 ==

运行以下任何版本的系统：

* Ubuntu 7.04 (Feisty) * Ubuntu 7.10 (Gutsy) * Ubuntu 8.04 LTS (Hardy)
* Ubuntu 'Intrepid Ibex' (development)：libssl <= 0.9.8g-8 * Debian 4.0 (etch) （请参阅相应的 Debian 安全公告）

以及安装了 openssh-server 或者用于创建 OpenSSH 密钥或 X.509 (SSL) 证书的系统。

在这些系统上生成的所有 OpenSSH 和 X.509 密钥必须视为不受信任，而不管使用它们的系统为何，即使应用了更新后也一样。

这包括 OpenSSH 使用的自动生成的主机密钥，是其服务器欺骗和中间人保护的基础。

检测

Ubuntu 7.04 / 7.10 / 8.04 LTS：openssl 漏洞 (USN-612-1)

high Nessus 插件 ID 65108

未找到变更日志