记录腾讯云 OpenSSL 缓冲区溢出漏洞/拒绝服务漏洞解决

腾讯云 搬瓦工

今天收到腾讯云发来的邮件说是有 OpenSSL 缓冲区溢出漏洞和拒绝服务漏洞,看了一下,主要是 OpenSSL 版本太低,所以解决方法也很简单,就是升级 OpenSSL 版本就可以了。本文做个简单的记录,因为解决方法也是腾讯云给的,大家如果收到这类提醒邮件,直接登录到腾讯云后台就可以看到对应的解决方法。

一、OpenSSL 漏洞介绍

主要有两个漏洞,但是解决方法是差不多的,都是升级 OpenSSL 版本,这两个漏洞描述分别如下。

  • 漏洞名称:OpenSSL 缓冲区溢出漏洞(CVE-2021-3711)
  • 漏洞标签:-
  • 漏洞类型:应用漏洞
  • 威胁等级:高危
  • CVE编号:CVE-2021-3711
  • 披露时间:2021-08-26 00:00:00
  • 漏洞描述:OpenSSL发布安全公告,修复了OpenSSL中的一个缓冲区溢出漏洞(CVE-2021-3711)。
    该漏洞源于SM2解密代码中EVP_PKEY_decrypt()的边界错误,远程攻击者可通过发送特制的用于解密的SM2内容,触发缓冲区溢出最多62个字节,从而改变进程行为或导致应用崩溃,实现在目标系统上执行任意代码。

第二个漏洞:

  • 漏洞名称:OpenSSL 拒绝服务漏洞(CVE-2021-3712)
  • 漏洞标签:-
  • 漏洞类型:应用漏洞
  • 威胁等级:中危
  • CVE编号:CVE-2021-3712
  • 披露时间:2021-08-26 00:00:00
  • 漏洞描述:OpenSSL发布安全公告,修复了OpenSSL中的一个拒绝服务漏洞(CVE-2021-3712)。
    该漏洞源于处理与字符串NUL结束的混淆有关的ASN.1字符串时的边界条件,远程攻击者可通过发送特制的数据,触发越界读取错误,从而读取内存内容或执行拒绝服务攻击。

二、OpenSSL 漏洞解决方法

官方已发布安全版本修复漏洞,腾讯安全专家建议受影响的用户请尽快更新至安全版本。

安全版本:OpenSSL 1.1.1l, OpenSSL 1.0.2za 用户可根据所使用的发行版本,升级修复。

Debian 系统用户:

查看OpenSSL版本:dpkg -l openssl

升级OpenSSL版本:sudo apt-get install --only-upgrade openssl

1)buster 版本用户,建议升级到如下版本:1.1.1d-0+deb10u7

2)bullseye 版本用户,建议升级到如下版本:1.1.1k-1+deb11u1

Ubuntu系统用户:

查看OpenSSL版本:dpkg -l openssl

升级OpenSSL版本:sudo apt-get install --only-upgrade openssl

1) Ubuntu 21.04 LTS版本用户,建议升级到如下版本: 1.1.1j-1ubuntu3.5

2) Ubuntu 20.04 LTS版本用户,建议升级到如下版本: 1.1.1f-1ubuntu2.8

3) Ubuntu 18.04 LTS版本用户,建议升级到如下版本: 1.1.1-1ubuntu2.1~18.04.13

4) Ubuntu 16.04 ESM版本用户,建议升级到如下版本:1.0.2g-1ubuntu4.20+esm1

5) Ubuntu 14.04 ESM版本用户,建议升级到如下版本:1.0.1f-1ubuntu2.27+esm3

温馨提示:升级OpenSSL前务必先做好快照备份,以免操作失误导致系统崩溃。
检测到服务器存在漏洞风险,建议立即对相关主机进行快照备份,避免遭受损失。(手动修复后,请重启机器再重新检测)

赞(0)
版权声明:本文采用知识共享 署名4.0国际许可协议 [BY-NC-SA] 进行授权
文章名称:《记录腾讯云 OpenSSL 缓冲区溢出漏洞/拒绝服务漏洞解决
文章链接:https://oldtang.com/9497.html
本站资源仅供个人学习交流,请于下载后24小时内删除,不允许用于商业用途,否则法律问题自行承担。