Ma version d'openssl est-elle vulnérable?

Question

Je viens d'installer Centos 7, avec les paramètres par défaut et je voudrais être sûr si ma version d'openssl est affectée par heartbleed. Je suppose que ce n'est pas, parce que la commande version dit built on: Mon Dec 14 05:15:47 UTC 2015 et la plupart des versions vulnérables ont été construites en 2013.

Quoi qu'il en soit, voici pleine sortie de la commande:

OpenSSL 1.0.1e-fips 11 Feb 2013 
built on: Mon Dec 14 05:15:47 UTC 2015 
platform: linux-x86_64 
options: bn(64,64) md2(int) rc4(16x,int) des(idx,cisc,16,int) idea(int) blowfish(idx) 
compiler: gcc -fPIC -DOPENSSL_PIC -DZLIB -DOPENSSL_THREADS -D_REENTRANT -DDSO_DLFCN -DHAVE_DLFCN_H -DKRB5_MIT -m64 -DL_ENDIAN -DTERMIO -Wall -O2 -g -pipe -Wall -Wp,-D_FORTIFY_SOURCE=2 -fexceptions -fstack-protector-strong --param=ssp-buffer-size=4 -grecord-gcc-switches -m64 -mtune=generic -Wa,--noexecstack -DPURIFY -DOPENSSL_IA32_SSE2 -DOPENSSL_BN_ASM_MONT -DOPENSSL_BN_ASM_MONT5 -DOPENSSL_BN_ASM_GF2m -DSHA1_ASM -DSHA256_ASM -DSHA512_ASM -DMD5_ASM -DAES_ASM -DVPAES_ASM -DBSAES_ASM -DWHIRLPOOL_ASM -DGHASH_ASM 
OPENSSLDIR: "/etc/pki/tls" 
engines: rdrand dynamic 

Answer 1

De https://www.openssl.org/news/vulnerabilities.html

CVE-2014-0160 (avis OpenSSL) 7 avril 2014: Une limite manquante vérifier dans la gestion de l'extension de pulsation TLS peut être utilisé pour révéler jusqu'à 64kB de mémoire vers un client ou un serveur connecté (a.k.a. Heartbleed). Ce problème n'a pas affecté les versions d'OpenSSL antérieures à 1.0.1. Rapporté par Neel Mehta. Correction dans OpenSSL 1.0.1g (Affecté 1.0.1f, 1.0.1e, 1.0.1d, 1.0.1c, 1.0.1b, 1.0.1a, 1.0.1)

Votre version est 1.0.1e donc c'est vulnérable. Passez à au moins 1.0.1g.

Answer 2

Non - vous n'êtes pas vulnérable à l'émotion. Le correctif de sécurité a été reporté sur le paquet 1.0.1e géré par centos. Voir: https://wiki.centos.org/Security/Heartbleed