GLSA-201603-15 : OpenSSL：多种漏洞 (DROWN)

critical Nessus 插件 ID 90053

语言：

简介

远程 Gentoo 主机缺少一个或多个与安全有关的补丁。

描述

远程主机受到 GLSA-201603-15 中所述漏洞的影响（OpenSSL：多个漏洞）

在 OpenSSL 中发现多种漏洞，其中最严重的是称为 DROWN 的跨协议攻击，其可导致 TLS 会话解密。请检查下方引用的 CVE 标识符以了解详细信息。
影响：

远程攻击者可使用支持 SSLv2 的服务器和作为 Bleichenbacher RSA padding oracle 的 EXPORT 加密套件，解密 TLS 会话，进而造成拒绝服务情况、取得内存中的敏感信息以及（在极少数情况下）恢复 RSA 密钥。
变通方案：

DROWN 的变通方案为禁用所有 SSL/TLS 服务器上的 SSLv2 协议。

解决方案

所有 OpenSSL 用户都应升级到最新版本：
# emerge --sync # emerge --ask --oneshot --verbose '>=dev-libs/openssl-1.0.2g-r2' 请注意，从 OpenSSL 1.0.2 开始，为了缓解 DROWN 攻击，OpenSSL 项目在构建时默认禁用 SSLv2。由于这项变更会造成依赖 OpenSSL 的某些 Gentoo 程序包出现严重问题，因此 Gentoo 仍提供在构建时启用 SSLv2 的 OpenSSL。请注意，这并不表示您仍容易受到 DROWN 影响，因为 OpenSSL 项目已采取进一步预防措施，并且应用程序需要明确请求 SSLv2。我们正在研究逐步淘汰 SSLv2 的迁移路径，确保不会再发生用户面临的问题。请参考缺陷 576128，深入了解此决策的详细过程。