Я унаследовал сервер в одной из наших сред разработки и сразу обнаружил, что он не был исправлен, когда был обнаружен heartbleed.
Теперь я обновил его - включая все библиотеки SSL, и я восстановил самоподписанные сертификаты, но даже после полной перезагрузки сервера он все еще обнаруживается как уязвимый для различных программ проверки Heartbleed.
Таково положение вещей. Версия Ubuntu / ядра:
root@server:~# uname -a
Linux server.domain.com 3.2.0-23-generic #36-Ubuntu SMP Tue Apr 10 20:39:51 UTC 2012 x86_64 x86_64 x86_64 GNU/Linux
root@server:~#
Версия библиотеки OpenSSL:
root@server:~# dpkg -l|grep ssl
ii libio-socket-ssl-perl 1.53-1 Perl module implementing object oriented interface to SSL sockets
ii libnet-ssleay-perl 1.42-1build1 Perl module for Secure Sockets Layer (SSL)
ii libssl1.0.0 1.0.1-4ubuntu5.13 SSL shared libraries
ii openssl 1.0.1-4ubuntu5.13 Secure Socket Layer (SSL) binary and related cryptographic tools
ii python-openssl 0.12-1ubuntu2.1 Python wrapper around the OpenSSL library
root@server:~#
Сборка OpenSSL:
root@server:~# openssl version -b
built on: Fri May 2 20:24:44 UTC 2014
root@server:~#
/etc/issue
содержит кое-что из облачной сигмы, на которой размещен сервер.
Кто-нибудь знает, как это сделать?
Спасибо
Вы должны запустить ldd-скрипт для реального двоичного файла веб-сервера. Ваш веб-сервер, особенно если он проприетарный, может быть статически связан или загружать ваши библиотеки из нечетного каталога. Пример того, как проверить Apache на CentOS:
# ldd /usr/sbin/httpd
[snip]
libssl.so.6 => /lib64/libssl.so.6 (0x00002b94ab034000)
# yum whatprovides libssl.so.6
Loaded plugins: dellsysid, security
openssl-0.9.8b-10.el5.i686 : The OpenSSL toolkit
Repo : base
Matched from:
Other : libssl.so.6
[snip]