OpenSSL asn1_d2i_read_bio 緩沖區(qū)溢出攻擊

Mysql2009

受影響的版本包括 0.9.8v 之前的(0.9.8u,0.9.8t…0.9.8k..0.9.2b…0.9.1c)，1.0.0 之前的以及 1.0.1 之前的。

Ubuntu 10.04 LTS(0.9.8k 25 Mar 2009)，CentOS 5.5/5.6(0.9.8e-fips-rhel5 01 Jul 200 均受此影響。

Ubuntu 打補(bǔ)丁的方式如下：
$ wget https://launchpad.net/ubuntu/+ar ... _0.9.8k.orig.tar.gz
$ wget https://launchpad.net/ubuntu/+ar ... 7ubuntu8.10.diff.gz
$ wget https://launchpad.net/ubuntu/+ar ... .8k-7ubuntu8.10.dsc
$ tar zxvf openssl_0.9.8k.orig.tar.gz
$ gzip -d openssl_0.9.8k-7ubuntu8.10.diff.gz
$ cd openssl-0.9.8k
$ patch -1 < ../openssl_0.9.8k-7ubuntu8.10.diff

或者直接通過 dsc 文件來完成補(bǔ)丁：
$ sudo apt-get install dpkg-dev
$ dpkg-source -x openssl_0.9.8k-7ubuntu8.10.dsc

編譯安裝：
$ ./config
$ make
$ sudo make install

這樣會將新的 openssl 的文件安裝至 /usr/local/ssl/ 下面：
$ tree -L 1 /usr/local/ssl/
/usr/local/ssl/
├── bin
├── certs
├── include
├── lib
├── man
├── misc
├── openssl.cnf
└── private

7 directories, 1 file

編譯的時候可以指定安裝的目錄，下面這個會覆蓋系統(tǒng)上的：
$ ./config --prefix=/usr

當(dāng)然，最簡單的方式還是通過包管理器來升級：
$ sudo apt-get update
$ sudo apt-get -y install openssl libssl0.9.8

nonocast

學(xué)習(xí)一下！

Mysql2009

Mysql2009 發(fā)表于 2012-05-05 10:01
受影響的版本包括 0.9.8v 之前的(0.9.8u,0.9.8t…0.9.8k..0.9.2b…0.9.1c)，1.0.0 之前的以及 1.0.1 之前的 ...

官方補(bǔ)丁也已經(jīng)出了