මෙය හෘදයාංගම ආරක්ෂක ගැටළුව අවබෝධ කර ගැනීම සහ ඒවාට පිළියම් යෙදීම පිළිබඳ කැනොනිකල් ප්‍රශ්නයකි.

CVE-2014-0160 AKA "හෘදයාංගම" යනු කුමක්ද? හේතුව කුමක්ද, OpenSSL හි මෙහෙයුම් පද්ධති සහ අනුවාදයන් අවදානමට ලක්විය හැකි රෝග ලක්ෂණ මොනවාද, සාර්ථක සූරාකෑමක් හඳුනා ගැනීමට ක්‍රම තිබේද?

මගේ පද්ධතියට බලපෑමක් තිබේදැයි බැලීමට මා පරීක්ෂා කරන්නේ කෙසේද? මෙම අවදානම අවම කර ගත හැක්කේ කෙසේද? මගේ යතුරු හෝ වෙනත් පෞද්ගලික දත්ත අඩපණ වී ඇති බවට මා සැලකිලිමත් විය යුතුද? මා සැලකිලිමත් විය යුතු වෙනත් අතුරු ආබාධ මොනවාද?

පළමුවෙන්ම , නිදැල්ලේ හැසිරීමට පෙර, මෙම අවදානම ඔබට සැබවින්ම අදාළ වේද නැද්ද යන්න ඔබ තේරුම් ගෙන ඇති බවට වග බලා ගන්න. ඔබට සේවාදායකයක් තිබේ නම්, නමුත් කිසි විටෙකත් ටීඑල්එස් භාවිතා කරමින් කිසිදු යෙදුමක් නොතිබුණි නම්, මෙය ඔබට නිවැරදි කිරීමට ඉහළ ප්‍රමුඛතාවයක් නොවේ. අනෙක් අතට, ඔබට කවදා හෝ TLS සක්‍රීය යෙදුම් තිබේ නම්, ඔබ සංග්‍රහයක් සඳහා පැමිණ සිටී. කියවන්න:

CVE-2014-0160 හෝ "හෘදයාංගම" යනු කුමක්ද?

ඒක ලොකු අවුලක්, ඒක තමයි. කෙටියෙන් කිවහොත්, දුරස්ථව සූරාකෑමට ලක්විය හැකි අවදානමක් OpenSSL අනුවාද 1.0.1 සිට 1.0.1f දක්වා සොයා ගන්නා ලද අතර එමඟින් ප්‍රහාරකයාට පද්ධති මතකයේ සමහර කොටස් කියවිය හැකිය. එම කොටස් වන්නේ පුද්ගලික යතුරු, පෙර සැකසූ යතුරු, මුරපද සහ ඉහළ වටිනාකම් සහිත ආයතනික දත්ත වැනි සංවේදී දත්ත ය.

මෙම දෝෂය ගූගල් ආරක්ෂණයේ නීල් මේතා (2014 මාර්තු 21) සහ ෆින්ලන්ත තොරතුරු තාක්ෂණ ආරක්ෂණ පරීක්ෂණ සමාගමක් වන කොඩෙනොමිකන් (2014 අප්‍රේල් 2) විසින් ස්වාධීනව සොයා ගන්නා ලදී.

හේතුව කුමක්ද?

හොඳයි, OpenSSL හි වැරදි කේතය. මෙහි ඇති අනාරක්ෂිත හඳුන්වා ඇති අතර ඒ සිදු වන්නේ මෙහි ඇති අනාරක්ෂිත ස්ථාවර බව සිදු කර ඇත. දෝෂය 2011 දෙසැම්බරයේ දර්ශනය වූ අතර අද එය අප්රේල් 7, 2014 අප්රේල් කරන ලදී.

දෝෂය විශාල ගැටලුවක රෝග ලක්‍ෂණයක් ලෙස ද දැකිය හැකිය. අදාළ ගැටළු දෙක නම් (1) වැරදි කේතයක් කේත පදනමකට හඳුන්වා නොදීම සහතික කිරීම සඳහා ක්‍රියාත්මක වන ක්‍රියාවලිය සහ (2) ප්‍රොටෝකෝල සහ දිගු කිරීම එතරම් සංකීර්ණ හා පරීක්ෂා කිරීමට අපහසු ඇයි? අයිතමය (1) යනු OpenSSL සහ තවත් බොහෝ ව්‍යාපෘති සමඟ පාලනය සහ ක්‍රියාවලි ගැටළුවකි. බොහෝ සංවර්ධකයින් කේත සමාලෝචන, විශ්ලේෂණය සහ පරිලෝකනය වැනි භාවිතයන්ට සරලව විරුද්ධ වේ. අයිඊටීඑෆ් හි ටීඑල්එස් ඩබ්ලිව්ජී හි අයිතමය (2) සාකච්ඡා කෙරෙමින් පවතී. හෘදයාබාධිත / ප්‍රොටෝකෝලා සංකීර්ණතාව බලන්න .

වැරදි කේතය අනිෂ්ට ලෙස ඇතුළත් කර තිබේද?

මෙය සැබවින්ම වැරැද්දක් ද නැතිනම් නරක නළුවෙකු වෙනුවෙන් කේතයක් ලිස්සා ගොස් ඇත්දැයි මම අනුමාන නොකරමි. කෙසේ වෙතත්, OpenSSL සඳහා කේතය සංවර්ධනය කළ පුද්ගලයා පවසන්නේ එය නොදැනුවත්ව බවයි. ශුද්ධාසනයේ බරපතල හඳුන්වා දුන් මිනිසා 'Heartbleed' ආරක්ෂක ඇදුරාගේ ඔහු හිතා මතාම එය, ඇතුළු ප්රතික්ෂේප කරයි .

OpenSSL හි කුමන මෙහෙයුම් පද්ධති සහ අනුවාදයන් අවදානමට ලක්විය හැකිද?

ඉහත සඳහන් කළ පරිදි, භාවිතා කරන ඕනෑම මෙහෙයුම් පද්ධතියක් හෝ OpenSSL 1.0.1 හා 1.0.1f සිට සම්බන්ධ කර ඇති යෙදුම.

රෝග ලක්ෂණ මොනවාද, සාර්ථක සූරාකෑමක් හඳුනා ගැනීමට ක්‍රම තිබේද?

මෙය බියජනක කොටසයි. අප දන්නා පරිදි, මෙම අවදානම සූරාකෑමට ලක්ව තිබේද නැද්ද යන්න හඳුනා ගැනීමට ක්‍රමයක් නොමැත. මෙම සූරාකෑම හඳුනාගත හැකි IDS අත්සන් ඉක්මනින් නිකුත් කිරීමට න්‍යායාත්මකව හැකි නමුත් මෙම ලිවීම අනුව ඒවා ලබා ගත නොහැක.

Heartbleed ක්රියාකාරීව නොවැම්බරයට පෙර ලෙස වල් සූරාකෑමට බව සාක්ෂි ඇත, 2013 වන EFF ගේ බලන්න හෘද දී වල්: බුද්ධි නියෝජිත ආයතන 2013 නොවැම්බර් මස දී Heartbleed භාවිතා කරමින්? බ්ලූම්බර්ග් වාර්තා කරන්නේ, අවදානම හඳුන්වා දුන් සැණින් එන්එස්ඒ විසින් සූරාකෑමට ආයුධ සන්නද්ධ කර ඇති බවයි. වසර ගණනාවක් තිස්සේ බුද්ධිය සඳහා හෘදයාබාධිත දෝෂය සූරාකෑමට එන්එස්ඒ සයිඩ් බලන්න . කෙසේ වෙතත්, එක්සත් ජනපද බුද්ධි ප්‍රජාව බ්ලූම්බර්ග්ගේ ප්‍රකාශ ප්‍රතික්ෂේප කරයි. IC ON THE RECORD බලන්න .

මගේ පද්ධතියට බලපෑමක් තිබේදැයි බැලීමට මා පරීක්ෂා කරන්නේ කෙසේද?

ඔබ ඔබේ පද්ධතියේ OpenSSL නඩත්තු කරන්නේ නම් , ඔබට සරලව නිකුත් කළ හැකිය openssl version:

$ openssl version
OpenSSL 1.0.1g 7 Apr 2014

නම් බෙදාහැරීම OpenSSL පවත්වා ඇත, එසේ නම් ඔබ බොහෝ විට OpenSSL අනුවාදය නිසා ආපසු භාවිතා ඉක්මනට එන්න තීරණය කළ ෙනොහැකි opensslවිධානය හෝ ඇසුරුම් වලට අදාල තොරතුරු (උදාහරණයක් ලෙස, apt-get, dpkg, yumහෝ rpm). බොහෝ (සියල්ල?) බෙදාහැරීම් භාවිතා කරන පසුපස පැච් කිරීමේ ක්‍රියාවලිය භාවිතා කරන්නේ මූලික අනුවාද අංකය පමණි (නිදසුනක් ලෙස, "1.0.1e"); සහ security ලදායී ආරක්ෂක අනුවාදයක් ඇතුළත් නොවේ (නිදසුනක් ලෙස, "1.0.1g").

පැකේජ බැක්පැච් කරන විට OpenSSL සහ අනෙකුත් පැකේජ සඳහා security ලදායී ආරක්ෂක අනුවාදය තීරණය කිරීම සඳහා සුපර් පරිශීලකයා පිළිබඳ විවෘත ප්‍රශ්නයක් තිබේ. අවාසනාවට, ප්‍රයෝජනවත් පිළිතුරු නොමැත (ඩිස්ට්‍රෝ වෙබ් අඩවිය පරීක්ෂා කිරීම හැර). බලන්න Backpatching මුහුණ දීමට සිදු වන විට ඵලදායී ආරක්ෂක සංස්කරණය තීරණය ?.

රීතියක් ලෙස: ඔබ කවදා හෝ බලපෑමට ලක්වූ අනුවාදයක් ස්ථාපනය කර ඇත්නම් සහ ටීඑල්එස් සහාය සඳහා OpenSSL ට එරෙහිව සම්බන්ධිත වැඩසටහන් හෝ සේවාවන් කවදා හෝ පවත්වා තිබේ නම්, එවිට ඔබ අවදානමට ලක් වේ.

අවදානම පරීක්ෂා කිරීම සඳහා මට වැඩසටහනක් සොයාගත හැක්කේ කොතැනින්ද?

හෘදයාංගම නිවේදනයෙන් පැය කිහිපයක් ඇතුළත, අන්තර්ජාලයේ කිහිප දෙනෙකු ප්‍රසිද්ධියේ ප්‍රවේශ විය හැකි වෙබ් යෙදුම් ප්‍රසිද්ධ කර ඇති අතර, මෙම අවදානම පවතින බව සේවාදායකයක් පරීක්ෂා කිරීමට භාවිතා කළ හැකිය. මෙම ලිවීම අනුව, මම කිසිවක් සමාලෝචනය කර නැත, එබැවින් මම ඔවුන්ගේ අයදුම්පත් තවදුරටත් ප්‍රසිද්ධ නොකරමි. ඔබ කැමති සෙවුම් යන්ත්‍රයේ ආධාරයෙන් ඒවා සාපේක්ෂව පහසුවෙන් සොයාගත හැකිය.

මෙම අවදානම අවම කරන්නේ කෙසේද?

අනාරක්ෂිත අනුවාදයකට උත්ශ්‍රේණිගත කර අවදානමට ලක්විය හැකි දත්ත යළි පිහිටුවීම හෝ නැවත සුරක්ෂිත කිරීම. හෘදයාංගම වෙබ් අඩවියේ සඳහන් කර ඇති පරිදි, සුදුසු ප්‍රතිචාර පියවර පුළුල් වේ:

1. පැච් අවදානමට ලක්විය හැකි පද්ධති.
2. නව පුද්ගලික යතුරු ප්‍රතිනිර්මාණය කරන්න.
3. ඔබේ ආයතනික අධිකාරියට නව ආයතනික සමාජ වගකීම් ඉදිරිපත් කරන්න.
4. අත්සන් කළ නව සහතිකයක් ලබාගෙන ස්ථාපනය කරන්න.
5. සැසි යතුරු සහ කුකී අවලංගු කරන්න
6. මුරපද සහ හවුල් රහස් යළි පිහිටුවන්න
7. පැරණි සහතික අවලංගු කරන්න.

වඩාත් සවිස්තරාත්මක විශ්ලේෂණයක් සහ පිළිතුරක් සඳහා, හෘදයාබාධිත OpenSSL සූරාකෑම සම්බන්ධයෙන් වෙබ් අඩවි ක්‍රියාකරුවෙකු කළ යුත්තේ කුමක්ද? ආරක්ෂක තොග හුවමාරුව මත.

මගේ යතුරු හෝ වෙනත් පෞද්ගලික දත්ත අඩපණ වී ඇති බවට මා සැලකිලිමත් විය යුතුද? මා සැලකිලිමත් විය යුතු වෙනත් අතුරු ආබාධ මොනවාද?

නියත වශයෙන්ම. පද්ධති පරිපාලකයින් කිරීමට අවශ්ය උපකල්පනය අවදානමක් OpenSSL සංස්කරණ භාවිතා කරන සර්වර් සැබවින්ම ඒ අනුව සම්මුතිකාමී හා ප්රතිචාර බව.

අවදානම අනාවරණය වීමෙන් ටික කලකට පසු, සේවාදායකයේ පුද්ගලික යතුර ප්‍රායෝගිකව ලබා ගත හැකිදැයි බැලීමට ක්ලවුඩ්ෆෙයාර් අභියෝගයක් ඉදිරිපත් කළේය. මෙම අභියෝගය ෆෙඩෝර් ඉන්ඩුට්නි සහ ඉල්කා මතිලා විසින් ස්වාධීනව දිනා ගන්නා ලදී. හෘදයාංගම අභියෝගය බලන්න .

මට තවත් තොරතුරු සොයාගත හැක්කේ කොතැනින්ද?

වැඩි විස්තර සොයන අය සඳහා සම්බන්ධක ඩම්ප්:

• OpenSSL SECADV 2014047
• CVE-2014-0160
• හෘදයාංගම
• උබුන්ටු නිවේදනය
• RHEL නිවේදනය
• නිල OpenSSL නිවේදනය

හෙළිදරව් කිරීමේ සිදුවීම් පිළිබඳ තරමක් සවිස්තරාත්මක කාලරාමුවක් හෘදයාංගම හෙළිදරව් කිරීමේ කාලරාමුවෙහි සොයාගත හැකිය : කවුද සහ කවදාද දැන සිටියේ .

ඔබ ක්‍රමලේඛකයෙකු නම් සහ msg_cbOpenSSL හි ඇමතුම හරහා හෘදයාබාධිත ප්‍රහාරයක් හඳුනා ගැනීම වැනි විවිධ ක්‍රමලේඛ උපක්‍රම ගැන උනන්දුවක් දක්වන්නේ නම්, OpenSSL හි ආරක්ෂක උපදේශනය 2014047 බලන්න .

XKCD විසින් දෝෂය පිළිබඳ සරල පැහැදිලි කිරීමක්:

උබුන්ටු 12.04, 12.10 සහ 13.10

උබුන්ටු විසින් USN-2165-1 නිකුත් කර ඇති අතර එහි සඳහන් වන්නේ යාවත්කාලීන කරන ලද පැකේජ දැන් ලේඛනාගාරයේ ඇති බවයි. නිවැරදි කිරීම අල්ලා ගැනීමට පහත විධානයන් දෙක ක්‍රියාත්මක කරන්න.

sudo apt-get update
sudo apt-get upgrade

උබුන්ටු 14.04

මේ සඳහා මා විසින් සකසා ඇති පීපීඒ වෙත නව නිකුතුව (ග්‍රෑම් 1.0.1) අඩංගු ඩේබියන් පැකේජයක් උඩුගත කර ඇත. මෙම විධානයන් තුන ඔබේ පද්ධතියට මගේ PPA එකතු කරයි, පවතින පැකේජ ලැයිස්තුව යාවත්කාලීන කරයි, සහ සියල්ල යාවත්කාලීන කරයි:

sudo add-apt-repository ppa:george-edison55/openssl-heartbleed-fix
sudo apt-get update
sudo apt-get upgrade

_{සටහන: PPA විසින් උබුන්ටු 12.04 සහ 13.10 සඳහා පැකේජ ද සපයයි, ඔබ ලේඛනාගාරයේ ඇති පැච් අනුවාද භාවිතා කරනවා වෙනුවට නව අනුවාදය (ග්‍රෑම් 1.0.1) ධාවනය කිරීමට කැමති නම්.}

උබුන්ටු 10.04

මෙය LTS අනුවාදයකි, සේවාදායක අනුවාදය තවමත් සහය දක්වන අතර ආරක්ෂක යාවත්කාලීනයන් ලබා ගනී. නමුත් හෘදයාබාධිත අවදානම උබුන්ටු 10.04 හි සම්මත ස්ථාපනයක opensl පැකේජයට බලපාන්නේ නැත, මන්ද අනුවාදය 1.0.1 ට වඩා අඩුය.

ඩෙස්ක්ටොප් අනුවාදය ජීවිතයේ අවසානයට පැමිණ ඇති අතර එය යාවත්කාලීන කිරීම / නැවත ස්ථාපනය කිරීම අවශ්‍ය වේ.

උබුන්ටු 13.04 සහ වෙනත් යල්පැනගිය අනුවාද

උබුන්ටු 13.04 හි ඔබ බලාපොරොත්තු නොවිය හැකි ඉතා කෙටි ආධාරක චක්‍රයක් තිබුණි. එය දැනටමත් ජීවිතයේ අවසානයට පැමිණ ඇති අතර තවත් ආරක්ෂක යාවත්කාලීනයන් නොලැබේ. එය දිගු කලක් යාවත්කාලීන කළ යුතුව තිබුණි. තවමත් යමෙකු එය භාවිතා කරන්නේ නම්, කරුණාකර මුල සිටම යාවත්කාලීන කරන්න හෝ මෙම පහසු ක්‍රියා පටිපාටිය අනුගමනය කිරීමෙන් එය විනාශකාරී නොවන 13.10 දක්වා ඉහළ නැංවිය හැකිය: http://www.tecmint.com/upgrade-ubuntu-13-04-raring-ringtail -to-ubuntu-13-10-saucy-salamander / යාවත්කාලීන කිරීමෙන් පසු පද්ධතියට හෘදයාංගම පැච් 13.10 සිට ලැබේ.

අනෙකුත් සියලුම යල් පැන ගිය උබුන්ටු අනුවාද සඳහා එයින් අදහස් කරන්නේ මූලික වශයෙන් නැවුම් ස්ථාපනය අවශ්‍ය බවයි.

පැච් එක යෙදී ඇති බව තහවුරු කරන්න

අත්යවශ්යයෙන්ම, ධාවනය openssl version -aකර ගොඩනැගීමේ දිනය 2014 අප්රේල් 7 හෝ ඊට පසුව බවට වග බලා ගන්න, නමුත් වැඩි විස්තර මෙතැනින් බලන්න .

නැවත ආරම්භ කරන්න

OpenSSL මත පදනම්ව සියලුම සේවාවන් නැවත ආරම්භ කර ඇති බවට සහතික කර ගත හැකි හොඳම ක්‍රමය වන්නේ නැවත ආරම්භ කිරීමයි.

RedHat 6.5 සහ CentOS 6.5

මේවා අවදානමට ලක් වේ. රෙඩ්හැට් හි වැරදිසහගත RHSA-2014-0376 පවසන්නේ පැච් පුස්තකාල ඇති බවත්, බලපෑමට ලක්වූ ඕනෑම අයෙකු හැකි ඉක්මනින් යාවත්කාලීන කළ යුතු බවත්ය.

ලියන අවස්ථාව වන විට, සෙන්ටෝස් සතුව තවමත් ස්ථාවර අනුවාදයක් නොතිබුණි , නමුත් කරන්බීර් සිං විසින් සෙන්ටෝස් නිවේදනයට පළ කිරීම, ඔවුන් විසින් විවෘත කරන ලද විවෘත සංස්කරණයක් නිපදවා ඇති බව ( openssl-1.0.1e-16.el6_5.4.0.1, වැදගත් වන අවසාන ඉලක්කම් හතර සටහන් කරන්න) සූරාකෑමට ලක්වන ටීඑල්එස් විධානය අක්‍රීය කර ඇති අතර එය ආරක්ෂිතව යෙදිය හැකි බැවින් එය මුදා හරින විට එය ස්ථාවර අනුවාදයක් මගින් නැවත ලියනු ලැබේ.

තාවකාලිකව සවි කර ඇති අනුවාදය එය තවමත් සියලු දර්පණ මතට දමා ඇති බවක් නොපෙනේ, නමුත් එය ප්‍රධාන ගබඩාවේ http://mirror.centos.org/centos/6/updates/x86_64/Packages/ (සහ ඒ හා සමානව i686).

සංස්කරණය කරන්න : ඉයන් පවසන පරිදි, දැන් C6.5 සඳහා සම්පුර්ණයෙන්ම ඇලවූ අනුවාදයක් ඇති බව පෙනේ, එය කණ්ණාඩි වටා කඩිමුඩියේ තල්ලු කර ඇති බව පෙනේ. කෙලින්ම yum updateඑය මගේ සේවාදායකයන් සඳහා ලැබුණි; ඒ openssl-1.0.1e-16.el6_5.7.

6.5 ට පෙර RH6 සහ C6 අනුවාද

මේවා අවදානමට ලක් නොවේ. Red Hat හි මෙම උපදේශයට අනුව ,

Red Hat Enterprise Linux 5 සහ Red Hat Enterprise Linux 6.4 සහ ඊට පෙර නැව්ගත කර ඇති පරිදි opensl හි අනුවාදයන්ට මෙම ගැටළුව බලපා නැත.

කරන්බීර් සිං සෙන්ටෝස් නිවේදනයට පළ කිරීම අනුවාදය සම්බන්ධයෙන් සමානවම පැහැදිලි ය:

CentOS-6.5 හි නැව්ගත කර ඇති පරිදි අද දවසේ මුලදී, opensl හි බරපතල ගැටළුවක් පිළිබඳව අපව දැනුවත් කරන ලදී

ඩේබියන් වීසි

ඩේබියන් විසින් DSA-2896-1 නිකුත් කර ඇති අතර පැච් පුස්තකාල මෙහි ඇත. ෂෙල් පිටපතක් මෙහි ඇත.

1. පැච්

Apt-get repository යාවත්කාලීන කරන ලද බැවින් දැන් පැච් කළ පුස්තකාල හරහා ලබා ගත හැකිය apt-get update && apt-get upgrade

apt-get upgrade libssl1.0.0 openssl

විකල්පයක් ලෙස (නිර්දේශ නොකරයි) පැකේජ අතින් යාවත්කාලීන කළ හැකිය:

wget http://security.debian.org/pool/updates/main/o/openssl/libssl1.0.0-dbg_1.0.1e-2+deb7u5_amd64.deb
wget http://security.debian.org/pool/updates/main/o/openssl/openssl_1.0.1e-2+deb7u5_amd64.deb
wget http://security.debian.org/pool/updates/main/o/openssl/libssl1.0.0_1.0.1e-2+deb7u5_amd64.deb
wget http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_1.0.1e-2+deb7u5_amd64.deb

dpkg -i openssl_1.0.1e-2+deb7u5_amd64.deb
dpkg -i libssl1.0.0_1.0.1e-2+deb7u5_amd64.deb
dpkg -i libssl1.0.0-dbg_1.0.1e-2+deb7u5_amd64.deb
dpkg -i libssl-dev_1.0.1e-2+deb7u5_amd64.deb

2. සේවාදායකය / සේවාවන් නැවත ආරම්භ කරන්න

හොඳම ආරක්ෂාව සඳහා මුළු සේවාදායකයම නැවත ආරම්භ කරන්න හෝ සේවාදායකය නොබැඳි විය නොහැකි නම් අවශ්‍ය සේවාවන් නැවත ආරම්භ කරන්න.

3. OpenSSL අනුවාදය පරීක්ෂා කරන්න

love@server:~$ openssl version
OpenSSL 1.0.1e 11 Feb 2013
love@server:~$ dpkg -l libssl1.0.0
||/ Name                    Version          Architecture     Description
+++-=======================-================-================-====================================================
ii  libssl1.0.0                 1.0.1e-2+deb7u6  amd64            SSL shared libraries

පුද්ගලික යතුරු පමණක් සම්මුතියක් ලෙස සැලකිය යුතු වත්කම් නොවන බව පෙන්වා දීමට කැමැත්තෙමි. OpenSSL ලෙස එකම ලිපින අවකාශයේ (එනම් එකම ක්‍රියාවලිය) ධාවනය වන ඕනෑම මතකයක් කාන්දු වීමේ හැකියාව දෝෂයට ඇත. එබැවින්, ඔබ OpenSSL හි අවදානමට ලක්විය හැකි අනුවාදයක් සංඛ්‍යානමය හෝ ගතිකව සම්බන්ධ කර ඇති සේවාදායක ක්‍රියාවලියක් ක්‍රියාත්මක කරන්නේ නම්, එම ක්‍රියාවලිය මෙතෙක් මුරපද, ක්‍රෙඩිට් කාඩ් අංක සහ වෙනත් පුද්ගලික දත්ත ඇතුළුව හසුරුවා ඇති ඕනෑම තොරතුරක් සම්මුතියකට ලක්විය හැකි යැයි සැලකිය යුතුය.

FreeBSD 10.0 හෝ වරායන්ගෙන් opensl

මෙම අතරින් කිහිපයකි ආරක්ෂක කණ්ඩායම : උපදේශක සම්බන්ධයෙන් CVE-2014-0160 (හෙවත් "Heartbleed") සහ නිකුත් කර තිබේ ඒ අතරින් කිහිපයකි-SA-14: 06.openssl

1. FreeBSD යාවත්කාලීන කිරීම

   • ද්විමය පැච් හරහා FreeBSD යාවත්කාලීන කිරීම

     ක්රියාත්මක වන පද්ධති නිකුතුව අනුවාදය මත ඒ අතරින් කිහිපයකි ක i386 හෝ AMD64 වේදිකාව ඒ අතරින් කිහිපයකි යාවත්කාලීන (8) උපයෝගිතා හරහා යාවත්කාලීන කළ හැක:

     # freebsd-update fetch
     # freebsd-update install
     

   • ප්‍රභවයන්ගෙන් FreeBSD යාවත්කාලීන කිරීම

     1. පහත ස්ථානයෙන් අදාළ පැච් එක බාගන්න, සහ ඔබේ පීජීපී උපයෝගීතාවයෙන් වෙන් කළ පීජීපී අත්සන සත්‍යාපනය කරන්න.

        # fetch http://security.FreeBSD.org/patches/SA-14:06/openssl-10.patch
        # fetch http://security.FreeBSD.org/patches/SA-14:06/openssl-10.patch.asc
        # gpg --verify openssl-10.patch.asc
        

     2. පහත දැක්වෙන විධානයන් root ලෙස ක්‍රියාත්මක කරන්න:

        # cd /usr/src
        # patch < /path/to/patch
        

     3. මෙහෙයුම් පද්ධතිය නැවත සකස් කරන්න

        FreeBSD අත්පොතේ විස්තර කර ඇති පරිදි buildworld සහ installworld භාවිතා කිරීම .

2. යාවත්කාලීන කරන්න OpenSSL අවම වෙළුම සමඟ වරාය 1.0.1_10

3. පුස්තකාලය භාවිතයෙන් සියලුම ඩීමන් නැවත ආරම්භ කරන්න, නැතහොත් පද්ධතිය නැවත ආරම්භ කරන්න

4. ඔබේ පද්ධතිය අඩපණ වී ඇති ආකාරයට ක්‍රියා කරන්න, ඔබේ සියලු එස්එස්එල් යතුරු සහ / හෝ සහතික සහ කාන්දු විය හැකි තොරතුරු නැවත නිකුත් කරන්න ( ඊඊඒඒ වඩාත් පොදු පිළිතුර බලන්න).

FreeBSD 9.x සහ FreeBSD 8.x

මෙම පද්ධතිය වේ නොහැකි අවදානමක් වෙත Heartbleed ප්රශ්නය පෙරනිමියෙන් මෙම පැරණි 0.9.x අනුවාදය මත රඳා ලෙස OpenSSL පුස්තකාලයක්, නම් ඔබ ස්ථාපනය OpenSSL වරාය සිට (උඩු මහලේ බලන්න).

මෙම පද්ධති හෘදයාබාධිත ගැටලුවට ගොදුරු නොවන්නේ නම් , වෙනත් දේශීය අවදානමක් හේතුවෙන් ඉක්මණින් ඔබේ පද්ධතිය යාවත්කාලීන කිරීම නුවණට හුරුය ( FreeBSD-SA-14: 06.openssl සහ "FreeBSD 10.0" කොටස බලන්න):

දේශීය ප්‍රහාරකයෙකුට අත්සන් කිරීමේ ක්‍රියාවලියක් සෝදිසි කර බැලීමට හැකි අතර අත්සන් කිරීමේ යතුර එයින් ලබා ගත හැකිය. [CVE-2014-0076]

සටහන :

මුල් හෘදයාබාධිත උපදේශනය FreeBSD 8.4 සහ 9.1 අවදානමට ලක්විය හැකි ඒවා ලෙස ලැයිස්තු ගත කරයි. හෘද ස්පන්දන දිගුව නොමැති වීම නිසා මෙය සත්‍ය නොවේ (පෙරනිමි FreeBSD openssl පුස්තකාලය 0.9.x අනුවාදය වීම).

මා සමඟ වැඩ කරන උපකරණ කිහිපයක භාවිතා වන SSL හි අනුවාදයන් නිශ්චය කිරීම කළ නොහැක්කක් බව මට පෙනී ගියේය. එය තාක්‍ෂණිකව අවම නොකලද දැනට අවදානමට ලක්විය හැකි ධාරකයන් හඳුනා ගැනීමට හැකිවීම මගේ ලැයිස්තුවේ ඉහළින්ම සිටී.

ෆිලෝසොටයිල්ගේ පරීක්ෂණ මොඩියුලය භාවිතා කරමින් අත්තනෝමතික ධාරකයන්ට සහ වරායට එරෙහිව චෙක්පත් සිදුකරන කුඩා වීඑම් එකක් මම එකට තැබුවෙමි . මූලික බැල්මට කේතය ශබ්ද ලෙස පෙනේ.

සම්පුර්ණ කරන ලද වීඑම් මුදා හැරීම මෙහි ඇත. එය VMX ආකෘතියෙන්.

අනතුරු ඇඟවීමේ වචන

මෙම තිර පිටපත් හා VM ඇත පමණක් පෙන්වන්නේ ඔබේ පද්ධතිවල වත්මන් තත්වය . අතීතයේ යම් අවස්ථාවක දී ඔබේ පද්ධති අවදානමට ලක්ව ඇති අතර එය අනිසි ලෙස භාවිතා කිරීමට ඉඩ තිබුණි.

මෙහි දක්වා පෙන්නුම් දෙයක් අනිවාර්යයෙන්ම විසඳුමක් සඳහා ඉහළ ප්රමුඛත්වයක් නමුත් එය කරන්නේ නැහැ යාවත්කාලීන ඉල්ලුම් සියලුම යතුරු වෙනස් කිරීම සඳහා නිදහස්ව ඔබ ලබා ගන්න.

ඇමසන් ලිනක්ස් (ඇමසන් ඊසී 2 හි භාවිතා කරන ලිනක්ස් ඩිස්ට්‍රෝ)

https://aws.amazon.com/amazon-linux-ami/security-bulletins/ALAS-2014-320/

නිකුතුව දළ විශ්ලේෂණය: විවෘත එස්එස්එල් විසින් ටීඑල්එස් හෘද ස්පන්දන විස්තාරණ පැකට් හසුරුවන ආකාරයෙහි මායිම් පරීක්ෂාවක් හමු විය. සම්බන්ධිත සේවාදායකයකුගෙන් හෝ සේවාදායකයෙකුගෙන් 64k දක්වා මතකයක් හෙළි කිරීමට මෙම දෝෂය භාවිතා කළ හැකිය.

බලපෑමට ලක්වූ අනුවාදයන්: Opensl 1.0.1 ස්ථාපනය කර ඇති ඕනෑම ඇමසන් ලිනක්ස් AMI 2013.03 හෝ ඊට පසු ඕනෑම ඇමසන් ලිනක්ස් AMI සහ 2013.03 හෝ ඊට පසු යාවත්කාලීන කරන ලද ඕනෑම ඇමසන් ලිනක්ස් AMI. OpenSSL පෙරනිමියෙන් ඇමේසන් ලිනක්ස් AMI මත ස්ථාපනය කර ඇත.

බලපෑමට ලක් වූ පැකේජ: openssl

ගැටළු නිවැරදි කිරීම: ඔබේ පද්ධතිය යාවත්කාලීන කිරීම සඳහා yum update openssl ධාවනය කරන්න. නව පැකේජය ස්ථාපනය කිරීමෙන් පසු, ඔබ විසින් opensl භාවිතා කරන සියලුම සේවාවන් අතින් නැවත ආරම්භ කිරීම හෝ ඔබේ අවස්ථාව නැවත ආරම්භ කිරීම අවශ්‍ය වේ. නව පැකේජය තවමත් openssl-1.0.1e ලෙස නම් කර ඇති අතර, එහි CVE-2014-0160 සඳහා වන නිවැරදි කිරීම අඩංගු වේ.

නව පැකේජ: i686:

openssl-1.0.1e-37.66.amzn1.i686

openssl-static-1.0.1e-37.66.amzn1.i686

openssl-perl-1.0.1e-37.66.amzn1.i686

openssl-devel-1.0.1e-37.66.amzn1.i686

openssl-debuginfo-1.0.1e-37.66.amzn1.i686

x86_64:

openssl-devel-1.0.1e-37.66.amzn1.x86_64

openssl-1.0.1e-37.66.amzn1.x86_64

openssl-debuginfo-1.0.1e-37.66.amzn1.x86_64

openssl-perl-1.0.1e-37.66.amzn1.x86_64

openssl-static-1.0.1e-37.66.amzn1.x86_64