У меня есть сервер Ubuntu 12.04. Я обновил OpenSSLпакет, чтобы исправить уязвимость. Но я все еще уязвим, даже если я перезапустил веб-сервер и даже весь сервер.

Чтобы проверить мою уязвимость, я использовал:

• http://www.exploit-db.com/exploits/32745/
• http://filippo.io/Heartbleed

ДПКГ дает:

dpkg -l |grep openssl
ii  openssl  1.0.1-4ubuntu5.12   Secure Socket Layer (SSL) binary and related cryptographic tools

(Launchpad.net/ubuntu/+source/openssl/1.0.1-4ubuntu5.12)

Убедитесь, что libssl1.0.0пакет также был обновлен (этот пакет содержит фактическую библиотеку, opensslпакет содержит инструменты) и что все службы, использующие библиотеку, были перезапущены после обновления.

Вы должны перезапустить все службы, используя openssl (перезапуск службы apache).

Это возможно вы ложный положительный случай, согласно FAQ :

Я получаю ложные срабатывания (красный)!

Будьте осторожны, если только вы не нажали на сайт, нажимая кнопку, я никак не могу подумать, что красный - это не красный.

Проверьте дамп памяти, если он есть, то инструмент откуда-то его получил.

Допустим, я на 99% уверен, что вы должны выглядеть лучше, если перезапустили все процессы после корректного обновления.

Обновление: тем не менее, я постоянно получаю сообщения о том, что версии не подвержены изменениям. Пожалуйста, пришлите комментарий к проблеме, если вы затронуты. Я ищу 3 вещи: дампы памяти (чтобы выяснить, откуда они пришли), временные метки (как можно точнее, попробуйте на вкладке Сеть), полное описание того, что вы нажали и набрали.

Вы можете протестировать свой сайт с помощью другого инструмента, такого как SSLLabs , и посмотреть, по-прежнему ли вы уязвимы.
Вам также следует сообщить о проблеме с помощью тестера http://filippo.io/Heartbleed, как описано выше.

Если вы используете mod_spdy, убедитесь, что вы обновили установку mod_spdy. Подробнее см. Https://groups.google.com/forum/#!topic/mod-spdy-discuss/EwCowyS1KTU . Вам нужно будет либо обновить mod_spdy deb, либо полностью удалить предыдущую версию.

Вероятно, у вас на 443 прослушивается программа со статически связанной библиотекой openssl. Это означает, что у программы есть свой собственный openssl - обновите и эту программу! Если он недоступен, немедленно сообщите об этом продавцу и, если возможно, приостановите это приложение!

Возможно, вы столкнулись с ошибкой, указанной на странице часто задаваемых вопросов . Похоже, что при определенных обстоятельствах вы можете получить уязвимое уведомление даже в исправленной системе.

Я получаю ложные срабатывания (красный)!

Будьте осторожны, если только вы не нажали на сайт, нажимая кнопку, я никак не могу подумать, что красный - это не красный. Проверьте дамп памяти, если он есть, то инструмент откуда-то его получил. Допустим, я на 99% уверен, что вы должны выглядеть лучше, если перезапустили все процессы после корректного обновления.

Обновление: тем не менее, я постоянно получаю сообщения о том, что версии не подвержены изменениям. Пожалуйста, пришлите комментарий к проблеме, если вы затронуты. Я ищу 3 вещи: дампы памяти (чтобы выяснить, откуда они пришли), временные метки (как можно точнее, попробуйте на вкладке Сеть), полное описание того, что вы нажали и набрали.

Я бы предложил провести тестирование с помощью альтернативного теста, такого как Qualys, чтобы убедиться, что ваша система больше не уязвима. Если это не так, отправляйтесь на Github и сообщите об этом.

Это все еще сломано

Что? «Сервер», о котором вы говорите, может иметь статически связанную библиотеку OpenSSl. Это означает, что даже если вы обновили свою систему, ваше приложение все еще находится в опасности! Вам нужно немедленно поговорить с поставщиком программного обеспечения, чтобы получить исправление или отключить службу, пока вы этого не сделаете.

Действительно ли мне нужно отключить службу до выхода патча?

Да, запуск уязвимой службы чрезвычайно опасен до возможной небрежности! Вы можете передавать любые данные, которые сервер расшифровывает из транспорта, и даже не знать об этом!

Убедитесь, что ваш nginx использует системную библиотеку: http://nginx.com/blog/nginx-and-the-heartbleed-vulnerability/

Это очень возможно, если приложение, работающее на 443, использует статическую библиотеку для OpenSSL. Если это так, вы должны обновить это приложение, чтобы больше не быть уязвимым.

Я наконец смог исправить мою проблему, которая была похожа на OP. Мой сервер - это LAMP-стек от Bitnami. Следуя этим инструкциям:

wget http://downloads.bitnami.com/files/download/opensslfixer/bitnami-opensslfixer-1.0.1g-     1-linux-x64-installer.run
chmod 755 bitnami-opensslfixer-1.0.1g-1-linux-x64-installer.run
./bitnami-opensslfixer-1.0.1g-1-linux-x64-installer.run --forcefix 1 --forcelegacy 1

http://community.bitnami.com/t/apache-error-after-the-recommended-heartbleed-patch/23530/9