AIX OpenSSL 公告：openssl_advisory9.doc

medium Nessus 插件 ID 74512

语言：

简介

远程 AIX 主机安装的 OpenSSL 版本可能受到多种漏洞的影响。

描述

远程主机上安装的 OpenSSL 版本可能受到以下远程代码执行和拒绝服务漏洞的影响：

- 攻击者将强制 OpenSSL 在易受攻击的客户端或服务器上运行任意代码的无效 DTLS 片段发送到 OpenSSL DTLS 客户端或服务器时，OpenSSL 可允许攻击者造成缓冲区溢出情况。(CVE-2014-0195)

- 通过利用 do_ssl3_write 函数中的缺陷，攻击者可通过空指针取消引用造成拒绝服务。注意：仅版本 1.0.1.500 到 1.0.1.510 易受攻击。(CVE-2014-0198)

- 攻击者可通过将无效 DTLS 握手发送到 OpenSSL DTLS 客户端造成拒绝服务，从而导致代码递归执行和最终崩溃。(CVE-2014-0221)

- 攻击者可使用中间人 (MITM) 攻击来强制在 OpenSSL SSL/TLS 客户端和服务器中使用弱密钥内容。攻击者可对来自受攻击客户端和服务器的流量进行解密和修改。
仅可在易受攻击的客户端和服务器之间执行该攻击。(CVE-2014-0224)

- 攻击者可通过利用 OpenSSL 客户端内存在的 OpenSSL 匿名 ECDH 加密套件来造成拒绝服务。(CVE-2014-3470)

解决方案

AIX 网站上提供可供下载的修复。

要从 tar 文件解压缩补丁：

- 对于 OpenSSL 1.0.1 版本：
zcat openssl-1.0.1.511.tar.Z | tar xvf -

- 对于 OpenSSL 0.9.8 版本：
zcat openssl-0.9.8.2502.tar.Z | tar xvf -

- 对于 OpenSSL 12.9.8 版本：
zcat openssl-12.9.8.2502.tar.Z | tar xvf

重要：如果可能，建议创建系统的 mksysb 备份。继续进行之前，验证其是否可启动并可读取。

要预览补丁的安装：

installp -apYd . openssl

要安装补丁程序包：

installp -aXYd . openssl