linux - Centos 5 中的 Poodle 漏洞

Question

我正在运行带有 openssl-0.9.8e-22.el5_11 的 centos 5.7，它受到 poodle 漏洞的影响。因此，为了解决这个问题，我将我的 openssl 版本升级到了 openssl-0.9.8e-31.el5_11。

我已经使用变更日志确认在上述版本中可以修复 poodle 漏洞。

[root]# rpm -qa --changelog openssl | grep CVE
- add support for fallback SCSV to partially mitigate CVE-2014-3566
- fix CVE-2014-0221 - recursion in DTLS code leading to DoS
- fix CVE-2014-3505 - doublefree in DTLS packet processing
- fix CVE-2014-3506 - avoid memory exhaustion in DTLS
- fix CVE-2014-3508 - fix OID handling to avoid information leak

但是，根据以下测试，我的系统仍然使用 SSLv3。

[root]# nmap --script ssl-enum-ciphers -p 443 10.197.65.190

Starting Nmap 5.51
Nmap scan report for 10.197.65.190
Host is up (0.00071s latency).
PORT STATE SERVICE
443/tcp open
| ssl-enum-ciphers:
| SSLv3
| Ciphers (
| TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA
| TLS_DHE_RSA_WITH_AES_128_CBC_SHA
| TLS_DHE_RSA_WITH_AES_256_CBC_SHA
| TLS_RSA_WITH_3DES_EDE_CBC_SHA
| TLS_RSA_WITH_AES_128_CBC_SHA
| TLS_RSA_WITH_AES_256_CBC_SHA
| TLS_RSA_WITH_RC4_128_MD5
| TLS_RSA_WITH_RC4_128_SHA
| Compressors (1)
| uncompressed
| TLSv1.0
| Ciphers (
| TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA
| TLS_DHE_RSA_WITH_AES_128_CBC_SHA
| TLS_DHE_RSA_WITH_AES_256_CBC_SHA
| TLS_RSA_WITH_3DES_EDE_CBC_SHA
| TLS_RSA_WITH_AES_128_CBC_SHA
| TLS_RSA_WITH_AES_256_CBC_SHA
| TLS_RSA_WITH_RC4_128_MD5
| TLS_RSA_WITH_RC4_128_SHA
| Compressors (1)
|_ uncompressed

Nmap 完成:在 1.28 秒内扫描了 1 个 IP 地址(1 个主机启动)

我在这里有点困惑。是否真的在 openssl-0.9.8e-31.el5_11 中修复了 poodle 漏洞。

在此方面的任何帮助都将不胜感激。

Answer 1

openssl 的升级不会修复 POODLE，因为 POODLE 是 SSL 3.0 中的设计缺陷，而不是 OpenSSL 中的错误。升级所做的只是添加一个选项，该选项可能被服务器用来检测客户端的协议(protocol)降级尝试。

真正的解决方法是在所有使用 OpenSSL 库的应用程序中禁用 SSL 3.0。