[Sysadmins] openssl Heartbleed Bug

[Sysadmins] openssl Heartbleed Bug

[Oleg]

Привет,

Найдена уязвимость в openssl:
http://heartbleed.com/

В CentOS-и уже6 обновленный пакет, а в альтах обновление будет?

--
С уважением,
Олег

Re: [Sysadmins] openssl Heartbleed Bug

[Anton Farygin]

On 08.04.2014 20:53, Oleg wrote:
> Привет,
>
> Найдена уязвимость в openssl:
> http://heartbleed.com/
>
> В CentOS-и уже6 обновленный пакет, а в альтах обновление будет?

$ rpm -qp Sisyphus/files/SRPMS/openssl10-1.0.1g-alt1.src.rpm --lastchange
* Пн апр 07 2014 Dmitry V. Levin <ldv@altlinux.org> 1.0.1g-alt1
- Updated to 1.0.1g (fixes CVE-2014-0076 and CVE-2014-0160).

Для p7:
http://git.altlinux.org/tasks/archive/done/_115/117869/logs/events.1.1.log

Re: [Sysadmins] openssl Heartbleed Bug

[Michael Shigorin]

On Tue, Apr 08, 2014 at 09:43:37PM +0400, Anton Farygin wrote:
> >Найдена уязвимость в openssl: http://heartbleed.com/
> >В CentOS-и уже6 обновленный пакет, а в альтах обновление будет?
> $ rpm -qp Sisyphus/files/SRPMS/openssl10-1.0.1g-alt1.src.rpm --lastchange
> * Пн апр 07 2014 Dmitry V. Levin <ldv@altlinux.org> 1.0.1g-alt1
> - Updated to 1.0.1g (fixes CVE-2014-0076 and CVE-2014-0160).
> 
> Для p7:
> http://git.altlinux.org/tasks/archive/done/_115/117869/logs/events.1.1.log

Бишь можно брать сизифный в качестве затычки либо дождаться утра,
когда приедет немного не успевший copy task.

-- 
 ---- WBR, Michael Shigorin / http://altlinux.org
  ------ http://opennet.ru / http://anna-news.info

Re: [Sysadmins] openssl Heartbleed Bug

[Oleg]

On 04/09/2014 12:12 AM, Michael Shigorin wrote:
> On Tue, Apr 08, 2014 at 09:43:37PM +0400, Anton Farygin wrote:
>>> Найдена уязвимость в openssl: http://heartbleed.com/
>>> В CentOS-и уже6 обновленный пакет, а в альтах обновление будет?
>> $ rpm -qp Sisyphus/files/SRPMS/openssl10-1.0.1g-alt1.src.rpm --lastchange
>> * Пн апр 07 2014 Dmitry V. Levin <ldv@altlinux.org> 1.0.1g-alt1
>> - Updated to 1.0.1g (fixes CVE-2014-0076 and CVE-2014-0160).
>>
>> Для p7:
>> http://git.altlinux.org/tasks/archive/done/_115/117869/logs/events.1.1.log
> Бишь можно брать сизифный в качестве затычки либо дождаться утра,
> когда приедет немного не успевший copy task.
>
а для P6?

Re: [Sysadmins] openssl Heartbleed Bug

[Sergey]

On Wednesday 09 April 2014, Oleg wrote:

> > Бишь можно брать сизифный в качестве затычки либо
> > дождаться утра, когда приедет немного не успевший
> > copy task. 

> а для P6?
 
Уязвимости подвержены 1.0.1 и 1.0.2. А в p6 - 1.0.0.
Что называется, торопиться не надо. :-)

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] openssl Heartbleed Bug

[Андрей Черепанов]

09.04.2014 12:30, Oleg пишет:
> On 04/09/2014 12:12 AM, Michael Shigorin wrote:
>> On Tue, Apr 08, 2014 at 09:43:37PM +0400, Anton Farygin wrote:
>>>> Найдена уязвимость в openssl: http://heartbleed.com/
>>>> В CentOS-и уже6 обновленный пакет, а в альтах обновление будет?
>>> $ rpm -qp Sisyphus/files/SRPMS/openssl10-1.0.1g-alt1.src.rpm
>>> --lastchange
>>> * Пн апр 07 2014 Dmitry V. Levin <ldv@altlinux.org> 1.0.1g-alt1
>>> - Updated to 1.0.1g (fixes CVE-2014-0076 and CVE-2014-0160).
>>>
>>> Для p7:
>>> http://git.altlinux.org/tasks/archive/done/_115/117869/logs/events.1.1.log
>>>
>> Бишь можно брать сизифный в качестве затычки либо дождаться утра,
>> когда приедет немного не успевший copy task.
>>
> а для P6?
А там неподверженная уязвимости версия <1.0.1

-- 
Андрей Черепанов
ALT Linux
cas@altlinux.ru

Re: [Sysadmins] openssl Heartbleed Bug

[Michael A. Kangin]

08.04.2014 21:43, Anton Farygin пишет:

>> Найдена уязвимость в openssl:

Простите за глупые вопросы, а всякие-там openvpn'ы это тоже затрагивает?




>> http://heartbleed.com/
>>
>> В CentOS-и уже6 обновленный пакет, а в альтах обновление будет?
>
> $ rpm -qp Sisyphus/files/SRPMS/openssl10-1.0.1g-alt1.src.rpm --lastchange
> * Пн апр 07 2014 Dmitry V. Levin <ldv@altlinux.org> 1.0.1g-alt1
> - Updated to 1.0.1g (fixes CVE-2014-0076 and CVE-2014-0160).
>
> Для p7:
> http://git.altlinux.org/tasks/archive/done/_115/117869/logs/events.1.1.log

Re: [Sysadmins] openssl Heartbleed Bug

[Nikolay A. Fetisov]

В Ср, 09/04/2014 в 19:37 +0400, Michael A. Kangin пишет:
> 08.04.2014 21:43, Anton Farygin пишет:
> 
> >> Найдена уязвимость в openssl:
> 
> Простите за глупые вопросы, а всякие-там openvpn'ы это тоже затрагивает?
> 

Да, так же как и прочие использующие OpenSSL демоны.
Обновить библиотеку, перезапустить OpenVPN - он станет использовать
новую версию.

Для клиентов на Windows - обновлять с сайта на только что вышедший
2.3.3 .

-- 
С уважением,
Николай Фетисов

Re: [Sysadmins] openssl Heartbleed Bug

[Vladimir Kamarzin]

09.04.2014, 21:37, "Michael A. Kangin" <mak@complife.ru>:
> 08.04.2014 21:43, Anton Farygin пишет:
>
>>>  Найдена уязвимость в openssl:
>
> Простите за глупые вопросы, а всякие-там openvpn'ы это тоже затрагивает?

Дополнение: если есть директива tls-auth, то нет.

Re: [Sysadmins] openssl Heartbleed Bug

[Nikolay A. Fetisov]

В Ср, 30/04/2014 в 23:09 +0600, Vladimir Kamarzin пишет:
> 09.04.2014, 21:37, "Michael A. Kangin" <mak@>:
> > 08.04.2014 21:43, Anton Farygin пишет:
> >
> >>>  Найдена уязвимость в openssl:
> >
> > Простите за глупые вопросы, а всякие-там openvpn'ы это тоже затрагивает?
> 
> Дополнение: если есть директива tls-auth, то нет.

Только если есть гарантия, что ключ TLS-auth не ушёл.

Т.е., с учётом того, что при использовании tls-auth этот ключ 
должен быть у _каждого_ из клиентов - только при наличии полного
доверия к _каждому_ из клиентов.

См. https://community.openvpn.net/openvpn/wiki/heartbleed , последний
пункт. 



-- 
С уважением,
Николай Фетисов