1.修復(fù)的CVE ·CVE-2010-5298 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.1g及之前版本的s3_pkt.c文件中的‘ssl3_read_bytes’函數(shù)存在競爭條件漏洞。當(dāng)使用SSL_MODE_RELEASE_BUFFERS時，遠程攻擊者可通過在多線程環(huán)境下建立SSL連接利用該漏洞造成拒絕服務(wù)（釋放后重用和解析錯誤）。 ·CVE-2013-0169 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL，OpenJDK，PolarSSL和其它產(chǎn)品中所使用的TLS協(xié)議1.1以及1.2，DTLS協(xié)議1.0以及1.2中存在漏洞，該漏洞源于程序在處理畸形的CBC填充期間沒有正確地研究針對固執(zhí)的MAC地址檢查操作所進行的計時邊信道攻擊。通過對特制報文的計時數(shù)據(jù)的統(tǒng)計分析，遠程攻擊者可利用該漏洞實施區(qū)分攻擊以及明文恢復(fù)攻擊。 ·CVE-2013-4353 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.1至1.0.1e版本中的ssl/s3_both.c文件中的‘ssl3_take_mac ’函數(shù)中存在輸入驗證漏洞。遠程攻擊者可借助特制無效的TLS握手利用該漏洞造成拒絕服務(wù)（空指針逆向引用和應(yīng)用程序崩潰）。 ·CVE-2013-6449 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.2之前的版本中的ssl/s3_lib.c文件中的‘ssl_get_algorithm2’函數(shù)中存在加密問題漏洞，該漏洞源于程序獲取錯誤數(shù)據(jù)結(jié)構(gòu)的版本號。遠程攻擊者可借助TLS 1.2版本客戶端的流量利用該漏洞造成拒絕服務(wù)（守護進程崩潰）。 ·CVE-2013-6450 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 0.9.8y及之前的版本和1.x至1.0.1e版本中的DTLS重新傳輸過程中存在安全漏洞，該漏洞源于程序沒有正確維護數(shù)據(jù)結(jié)構(gòu)。攻擊者可利用該漏洞實施中間人攻擊，觸發(fā)使用不同的數(shù)據(jù)。 ·CVE-2014-0160 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的TLS和DTLS實現(xiàn)過程中的d1_both.c和t1_lib.c文件中存在安全漏洞，該漏洞源于當(dāng)處理Heartbeat Extension數(shù)據(jù)包時，缺少邊界檢查。遠程攻擊者可借助特制的數(shù)據(jù)包利用該漏洞讀取服務(wù)器內(nèi)存中的敏感信息(如用戶名、密碼、Cookie、私鑰等)。以下版本的OpenSSL受到影響：1.0.1，1.0.1：beta1，1.0.1：beta2，1.0.1：beta3，1.0.1a，1.0.1b，1.0.1c，1.0.1d，1.0.1e，1.0.1f。目前OpenSSL官方已經(jīng)發(fā)布補丁，用戶可以通過升級修復(fù)漏洞，或者使用-DOPENSSL_NO_HEARTBEATS參數(shù)重新編譯受影響版本的OpenSSL以禁用Heartbeat模塊。 ·CVE-2014-0195 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的d1_both.c文件中的‘dtls1_reassemble_fragment’函數(shù)存在安全漏洞，該漏洞源于程序沒有正確驗證DTLS ClientHello消息中的段長度。遠程攻擊者可借助長的未初始化的段值利用該漏洞執(zhí)行任意代碼或造成拒絕服務(wù)（緩沖區(qū)溢出和應(yīng)用程序崩潰）。以下版本受到影響：OpenSSL 0.9.8y及之前的版本，1.0.0m之前的1.0.0版本，1.0.1h之前的1.0.1版本。 ·CVE-2014-0198 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.x至1.0.1g版本的s3_pkt.c文件中的‘do_ssl3_write’函數(shù)存在緩沖區(qū)溢出漏洞，該漏洞源于當(dāng)使用SSL_MODE_RELEASE_BUFFERS時，在遞歸調(diào)用期間程序沒有正確管理緩沖區(qū)指針。遠程攻擊者可利用該漏洞造成拒絕服務(wù)（空指針逆向引用和應(yīng)用程序崩潰）。 ·CVE-2014-0221 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的d1_both.c文件中的‘dtls1_get_message_fragment’函數(shù)存在安全漏洞。遠程攻擊者可借助無效的DTLS握手中的DTLS hello消息利用該漏洞造成拒絕服務(wù)（遞歸和客戶端崩潰）。以下版本受到影響：OpenSSL 0.9.8y及之前的版本，1.0.0m之前的1.0.0版本，1.0.1h之前的1.0.1版本。 ·CVE-2014-3470 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的s3_clnt.c文件中的‘ssl3_send_client_key_exchange’函數(shù)存在安全漏洞。當(dāng)使用匿名的ECDH密碼套件時，遠程攻擊者可利用該漏洞造成拒絕服務(wù)（空指針逆向引用和客戶端崩潰）。以下版本受到影響：OpenSSL 0.9.8y及之前的版本，1.0.0m之前的1.0.0版本，1.0.1h之前的1.0.1版本。 ·CVE-2014-3505 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的DTLS實現(xiàn)過程中d1_both.c文件存在雙重釋放漏洞。遠程攻擊者可通過發(fā)送特制DTLS數(shù)據(jù)包利用該漏洞造成拒絕服務(wù)（應(yīng)用程序崩潰）。以下版本受到影響：OpenSSL 0.9.8zb之前0.9.8版本，1.0.0n之前1.0.0版本，1.0.1i之前1.0.1版本。 ·CVE-2014-3506 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的DTLS實現(xiàn)過程中的d1_both.c文件存在安全漏洞。遠程攻擊者可通過發(fā)送特制的DTLS握手消息利用該漏洞造成拒絕服務(wù)（內(nèi)存消耗）。以下版本受到影響：OpenSSL 0.9.8zb之前0.9.8版本，1.0.0n之前1.0.0版本，1.0.1i之前1.0.1版本。 ·CVE-2014-3507 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的DTLS實現(xiàn)中的d1_both.c文件存在內(nèi)存泄露漏洞，該漏洞源于程序接收到零長度DTLS分片時，沒有正確處理插入函數(shù)的返回值。遠程攻擊者可利用該漏洞造成拒絕服務(wù)（內(nèi)存消耗）。以下版本受到影響：OpenSSL 0.9.8zb之前0.9.8版本，1.0.0n之前1.0.0版本，1.0.1i之前1.0.1版本。 ·CVE-2014-3508 描述：None ·CVE-2014-3509 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.0n之前1.0.0版本和1.0.1i之前1.0.1版本的t1_lib.c文件中的‘ssl_parse_serverhello_tlsext’函數(shù)中存在競爭條件漏洞。當(dāng)程序使用多線程和會話恢復(fù)功能時，遠程攻擊者可通過發(fā)送‘Elliptic Curve (EC) Supported Point Formats Extension’數(shù)據(jù)利用該漏洞造成拒絕服務(wù)（內(nèi)存覆蓋和客戶端應(yīng)用程序崩潰）。 ·CVE-2014-3510 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的s3_clnt.c文件中‘ssl3_send_client_key_exchange’函數(shù)存在安全漏洞。遠程攻擊者可通過帶有匿名的DH或ECDH加密套件的握手消息利用該漏洞造成拒絕服務(wù)（空指針逆向引用和客戶端應(yīng)用程序崩潰）。以下版本受到影響：OpenSSL 0.9.8zb之前0.9.8版本，1.0.0n之前1.0.0版本，1.0.1i之前1.0.1版本。 ·CVE-2014-3511 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.1i之前1.0.1版本的s23_srvr.c文件中的‘ssl23_get_client_hello’函數(shù)存在安全漏洞。遠程攻擊者可通過使支持高版本TLS的服務(wù)器端和客戶端之間的ClientHello消息存儲碎片利用該漏洞強制使用TLS 1.0版本。 ·CVE-2014-3513 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.1j之前1.0.1版本的DTLS SRTP擴展中的d1_srtp.c腳本存在內(nèi)存泄露漏洞。遠程攻擊者可借助特制的握手消息利用該漏洞造成拒絕服務(wù)（內(nèi)存消耗）。 ·CVE-2014-3567 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的t1_lib.c腳本中的‘tls_decrypt_ticket’函數(shù)存在內(nèi)存泄露漏洞，該漏洞源于會話票據(jù)的完整性驗證失敗使程序無法釋放內(nèi)存。遠程攻擊者可通過特制的會話票據(jù)利用該漏洞造成拒絕服務(wù)（內(nèi)存消耗）。以下版本受到影響：OpenSSL 0.9.8zc之前版本，1.0.0o之前1.0.0版本，1.0.1j之前1.0.1版本。 ·CVE-2014-3570 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的BN_sqr實現(xiàn)中存在安全漏洞，該漏洞源于程序沒有正確計算BIGNUM值的平方。遠程攻擊者可利用該漏洞破壞密碼保護機制。以下版本受到影響：OpenSSL 0.9.8zd之前版本，1.0.0p之前1.0.0版本，1.0.1k之前1.0.1版本。 ·CVE-2014-3571 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL中的‘dtls1_get_record’函數(shù)存在安全漏洞，該漏洞源于程序?qū)ξ帐謪f(xié)議的header和body分開執(zhí)行讀操作。遠程攻擊者可借助特制的DTLS消息利用該漏洞造成拒絕服務(wù)（空指針逆向引用和應(yīng)用程序崩潰）。以下版本受到影響：OpenSSL 0.9.8zd之前版本，1.0.0p之前1.0.0版本，1.0.1k之前1.0.1版本。 ·CVE-2014-3572 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的s3_clnt.c文件中的‘ssl3_get_key_exchange’函數(shù)存在安全漏洞。遠程攻擊者可通過省略ServerKeyExchange消息利用該漏洞實施ECDHE-to-ECDH降級攻擊，刪除密碼套件中的正向加密。以下版本受到影響：OpenSSL 0.9.8zd之前版本，1.0.0p之前1.0.0版本，1.0.1k之前1.0.1版本。 ·CVE-2014-8176 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的ssl/d1_lib.c文件中的‘dtls1_clear_queues’函數(shù)存在安全漏洞，該漏洞源于DTLS錯誤的接收到ChangeCipherSpec和Finished消息之間的應(yīng)用程序數(shù)據(jù)，針對該數(shù)據(jù)的緩存將導(dǎo)致釋放無效的內(nèi)存。遠程攻擊者可借助應(yīng)用程序數(shù)據(jù)利用該漏洞造成拒絕服務(wù)（內(nèi)存損壞和應(yīng)用程序崩潰）。以下版本受到影響：OpenSSL 0.9.8za之前版本，1.0.0m之前1.0.0版本，1.0.1h之前1.0.1版本。 ·CVE-2014-8275 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL中存在安全漏洞，該漏洞源于程序沒有適當(dāng)限制證書數(shù)據(jù)。遠程攻擊者可通過在證書無符號部分添加特制數(shù)據(jù)，利用該漏洞破壞fingerprint-based certificate-blacklist保護機制。以下版本受到影響：OpenSSL 0.9.8zd之前版本，1.0.0p之前1.0.0版本，1.0.1k之前1.0.1版本。 ·CVE-2015-0204 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的s3_clnt.c文件中的‘ssl3_get_key_exchange’函數(shù)存在安全漏洞。遠程攻擊者可通過提供臨時的RSA密鑰利用該漏洞實施RSA-to-EXPORT_RSA降級攻擊，加快暴力破解進度。以下版本受到影響：OpenSSL 0.9.8zd之前版本，1.0.0p之前1.0.0版本，1.0.1k之前1.0.1版本。 ·CVE-2015-0205 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.0p之前1.0.0版本和1.0.1k之前1.0.1版本的s3_srvr.c文件中的‘ssl3_get_cert_verify’函數(shù)存在安全漏洞，該漏洞源于程序允許客戶端使用不帶認(rèn)證消息的Diffie-Hellman(DH)證書進行身份驗證。遠程攻擊者可通過向服務(wù)器發(fā)送特制的TLS握手協(xié)議流量利用該漏洞獲取訪問權(quán)限。 ·CVE-2015-0206 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.0p之前1.0.0版本和1.0.1k之前1.0.1版本的d1_pkt.c文件中的‘dtls1_buffer_record’函數(shù)存在內(nèi)存泄露漏洞。遠程攻擊者可通過發(fā)送大量的重復(fù)記錄利用該漏洞造成拒絕服務(wù)（內(nèi)存消耗）。 ·CVE-2015-0209 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的crypto/ec/ec_asn1.c文件中的‘d2i_ECPrivateKey’函數(shù)存在釋放后重用漏洞。遠程攻擊者可借助畸形的Elliptic Curve(EC)private-key文件利用該漏洞造成拒絕服務(wù)（內(nèi)存損壞和應(yīng)用程序崩潰）。以下版本受到影響：OpenSSL 0.9.8zf之前版本，1.0.0r之前1.0.0版本，1.0.1m之前1.0.1版本，1.0.2a之前1.0.2版本。 ·CVE-2015-0286 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的crypto/asn1/a_type.c文件中的‘ASN1_TYPE_cmp’函數(shù)存在安全漏洞，該漏洞源于程序沒有正確對比布爾類型（boolean-type）。遠程攻擊者可借助特制的X.509證書利用該漏洞造成拒絕服務(wù)（無效的讀取操作和應(yīng)用程序崩潰）。以下版本受到影響：OpenSSL 0.9.8zf之前版本，1.0.0r之前1.0.0版本，1.0.1m之前1.0.1版本，1.0.2a之前1.0.2版本。 ·CVE-2015-0287 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的crypto/asn1/tasn_dec.c文件中的‘ASN1_item_ex_d2i’函數(shù)存在安全漏洞，該漏洞源于程序沒有重新初始化CHOICE和ADB數(shù)據(jù)類型。攻擊者可借助特制的應(yīng)用程序利用該漏洞造成拒絕服務(wù)（無效的寫入操作和內(nèi)存損壞）。以下版本受到影響：OpenSSL 0.9.8zf之前版本，1.0.0r之前1.0.0版本，1.0.1m之前1.0.1版本，1.0.2a之前1.0.2版本。 ·CVE-2015-0288 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的crypto/x509/x509_req.c文件中的‘X509_to_X509_REQ’函數(shù)存在安全漏洞。攻擊者可借助無效的證書密鑰利用該漏洞造成拒絕服務(wù)（空指針逆向引用和應(yīng)用程序崩潰）。以下版本受到影響：OpenSSL 0.9.8zf之前版本，1.0.0r之前1.0.0版本，1.0.1m之前1.0.1版本，1.0.2a之前1.0.2版本。 ·CVE-2015-0289 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的PKCS＃7實現(xiàn)過程中存在安全漏洞。遠程攻擊者可借助處理任意PKCS＃7數(shù)據(jù)的應(yīng)用程序和使用ASN.1編碼的畸形的PKCS＃7數(shù)據(jù)，利用該漏洞造成拒絕服務(wù)（空指針逆向引用和應(yīng)用程序崩潰）。以下版本受到影響：OpenSSL 0.9.8zf之前版本，1.0.0r之前1.0.0版本，1.0.1m之前1.0.1版本，1.0.2a之前1.0.2版本。 ·CVE-2015-0292 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的base64-decoding實現(xiàn)過程中的crypto/evp/encode.c文件中的‘EVP_DecodeUpdate’函數(shù)存在整數(shù)溢出漏洞。遠程攻擊者可借助特制的base64數(shù)據(jù)利用該漏洞造成拒絕服務(wù)（內(nèi)存損壞）。以下版本受到影響：OpenSSL 0.9.8za之前版本，1.0.0m之前1.0.0版本，1.0.1h之前1.0.1版本。 ·CVE-2015-0293 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的SSLv2實現(xiàn)過程中存在安全漏洞。遠程攻擊者可借助特制的CLIENT-MASTER-KEY消息利用該漏洞造成拒絕服務(wù)（s2_lib.c斷言失敗和守護進程退出）。以下版本受到影響：OpenSSL 0.9.8zf之前版本，1.0.0r之前1.0.0版本，1.0.1m之前1.0.1版本，1.0.2a之前1.0.2版本。 ·CVE-2015-1789 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的crypto/x509/x509_vfy.c文件中的‘X509_cmp_time’函數(shù)存在安全漏洞。遠程攻擊者可借助ASN1_TIME數(shù)據(jù)中特制的長度字段利用該漏洞造成拒絕服務(wù)（越邊界讀取和應(yīng)用程序崩潰）。以下版本受到影響：OpenSSL 0.9.8zg之前版本，1.0.0s之前1.0.0版本，1.0.1n之前1.0.1版本，1.0.2b之前1.0.2版本。 ·CVE-2015-1790 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的crypto/pkcs7/pk7_doit.c文件中的‘PKCS7_dataDecode’函數(shù)存在安全漏洞。遠程攻擊者可借助畸形的PKCS＃7二進制大對象（使用ASN.1編碼并缺少內(nèi)部EncryptedContent數(shù)據(jù)），利用該漏洞造成拒絕服務(wù)（空指針逆向引用和應(yīng)用程序崩潰）。以下版本受到影響：OpenSSL 0.9.8zg之前版本，1.0.0s之前1.0.0版本，1.0.1n之前1.0.1版本，1.0.2b之前1.0.2版本。 ·CVE-2015-1791 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的ssl/s3_clnt.c文件中的‘ssl3_get_new_session_ticket’函數(shù)存在競爭條件漏洞。當(dāng)程序運行在多線程的客戶端時，遠程攻擊者可通過提供NewSessionTicket利用該漏洞造成拒絕服務(wù)（雙重釋放和應(yīng)用程序崩潰）。以下版本受到影響：OpenSSL 0.9.8zg之前版本，1.0.0s之前1.0.0版本，1.0.1n之前1.0.1版本，1.0.2b之前1.0.2版本。 ·CVE-2015-1792 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的crypto/cms/cms_smime.c文件中的‘do_free_upto’函數(shù)存在安全漏洞。遠程攻擊者可利用該漏洞造成拒絕服務(wù)（無限循環(huán)）。以下版本受到影響：OpenSSL 0.9.8zg之前版本，1.0.0s之前1.0.0版本，1.0.1n之前1.0.1版本，1.0.2b之前1.0.2版本。 ·CVE-2015-3194 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.1q之前1.0.1版本和1.0.2e之前1.0.2版本的crypto/rsa/rsa_ameth.c文件中存在安全漏洞，該漏洞源于程序沒有正確驗證使用RSA PSS算法的簽名。遠程攻擊者可利用該漏洞造成拒絕服務(wù)（空指針逆向引用和應(yīng)用程序崩潰）。 ·CVE-2015-3195 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的crypto/asn1/tasn_dec.c文件中的ASN1_TFLG_COMBINE實現(xiàn)過程中存在安全漏洞，該漏洞源于程序沒有正確處理畸形的X509_ATTRIBUTE數(shù)據(jù)引發(fā)的錯誤。遠程攻擊者可通過在PKCS＃7或CMS應(yīng)用程序中觸發(fā)解碼失敗利用該漏洞獲取進程內(nèi)存中的敏感信息。以下版本受到影響：OpenSSL 0.9.8zh之前版本，1.0.0t之前1.0.0版本，1.0.1q之前1.0.1版本，1.0.2e之前1.0.2版本。 ·CVE-2015-3196 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的ssl/s3_clnt.c文件中存在安全漏洞，該漏洞源于程序在multi-threaded客戶端使用時，向錯誤的數(shù)據(jù)結(jié)構(gòu)體寫入PSK身份標(biāo)記。遠程攻擊者可借助特制的ServerKeyExchange標(biāo)記利用該漏洞造成拒絕服務(wù)（競爭條件和雙重釋放）。以下版本受到影響：OpenSSL 1.0.0t之前1.0.0版本，1.0.1p之前1.0.1版本，1.0.2d之前1.0.2版本。 ·CVE-2015-3197 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.1r之前1.0.1版本和1.0.2f之前1.0.2版本的ssl/s2_srvr.c文件中存在安全漏洞，該漏洞源于程序沒有限制使用已禁用的密碼。攻擊者可通過在SSLv2流量上執(zhí)行計算指令利用該漏洞實施中間人攻擊，破壞加密保護機制。 ·CVE-2015-3216 描述：OpenSSL 1.0.1e-25.el7版本源碼包中的‘ssleay_rand_bytes’函數(shù)中的PRNG鎖屏實現(xiàn)過程的Red Hat補丁存在競爭條件漏洞。遠程攻擊者可通過與多線程服務(wù)器建立多個TLS會話，導(dǎo)致特定的長度字段使用負(fù)值利用該漏洞造成拒絕服務(wù)（應(yīng)用程序崩潰）。 ·CVE-2015-4000 描述：TLS是IETF標(biāo)準(zhǔn)組織的一個傳輸層安全性協(xié)議，目的是為互聯(lián)網(wǎng)通信提供安全及數(shù)據(jù)完整性保障。TLS協(xié)議1.2及之前版本中存在加密問題漏洞，該漏洞源于當(dāng)服務(wù)器啟用DHE_EXPORT密碼套件時，程序沒有正確傳遞DHE_EXPORT選項。攻擊者可通過重寫ClientHello（使用DHE_EXPORT取代DHE），然后重寫ServerHello（使用DHE取代DHE_EXPORT），利用該漏洞實施中間人攻擊和cipher-downgrade攻擊。 ·CVE-2015-7575 描述：Mozilla Firefox和Mozilla Firefox ESR都是美國Mozilla基金會的產(chǎn)品。Mozilla Firefox是一款開源Web瀏覽器。Mozilla Firefox ESR是Firefox(Web瀏覽器)的一個延長支持版本。Mozilla Firefox和Firefox ESR中使用的Mozilla NSS中存在安全漏洞，該漏洞源于程序錯誤地接收TLS 1.2 Handshake Protocol流量中的Server Key Exchange消息中的MD5簽名。攻擊者可通過實施collision-based偽造攻擊利用該漏洞實施中間人攻擊，欺騙服務(wù)器。以下產(chǎn)品及版本受到影響：Mozilla Firefox 43.0.2之前版本，F(xiàn)irefox ESR 38.5.2之前38.x版本，NSS 3.20.2之前版本。 ·CVE-2016-0702 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.2及之前版本和1.0.1及之前版本中存在安全漏洞，該漏洞源于程序在執(zhí)行模冪運算時沒有考慮cache-bank訪問時間。本地攻擊者可通過運行特制的應(yīng)用程序并借助存儲體沖突，利用該漏洞實施旁路攻擊，發(fā)現(xiàn)RSA密鑰。 ·CVE-2016-0703 描述：OpenSSL在實現(xiàn)SSL/TLS（SSL，安全套接層協(xié)議；TLS，安全傳輸層協(xié)議，用于在兩個應(yīng)用程序通信時間提供保密性和完整性保護。）系列協(xié)議過程中，支持多個版本的SSL協(xié)議，包括SSLv2、SSLv3等協(xié)議。OpenSSL的SSLv2實現(xiàn)過程存在安全漏洞。攻擊者可利用編號為CNNVD-201603-001的漏洞發(fā)起DROWN攻擊，破解采用TLS協(xié)議加密的會話數(shù)據(jù)，利用編號為CNNVD-201603-005的漏洞縮短完成上述攻擊的攻擊時間。以下版本受到影響：OpenSSL 0.9.8zf之前版本，1.0.0r之前1.0.0版本，1.0.1m之前1.0.1版本，1.0.2a之前1.0.2版本。 ·CVE-2016-0704 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL的SSLv2實現(xiàn)過程中的s2_srvr.c文件中的‘get_client_master_key’函數(shù)中的Bleichenbacher oracle保護機制中存在安全漏洞，該漏洞源于程序使用export加密套件時覆蓋了錯誤的MASTER-KEY字節(jié)。遠程攻擊者可利用該漏洞解密TLS加密數(shù)據(jù)，實施DROWN攻擊。以下版本受到影響：OpenSSL 0.9.8zf之前版本，1.0.0r之前1.0.0版本，1.0.1m之前1.0.1版本，1.0.2a之前1.0.2版本。 ·CVE-2016-0705 描述：OpenSSL是Openssl團隊的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSLv2/v3）和安全傳輸層（TLSv1）協(xié)議的通用加密庫。該產(chǎn)品支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.1s之前的1.0.1版本和1.0.2g之前的1.0.2版本中的crypto/dsa/dsa_ameth.c文件的‘dsa_priv_decode’函數(shù)存在安全漏洞。攻擊者可利用該漏洞造成拒絕服務(wù)（內(nèi)存損壞）。 ·CVE-2016-0797 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.2及之前版本和1.0.1及之前版本的‘BN_hex2bn’函數(shù)和‘BN_dec2bn’函數(shù)中存在整數(shù)溢出漏洞。遠程攻擊者可借助較長的數(shù)字字符串利用該漏洞造成拒絕服務(wù)（堆內(nèi)存損壞或空指針逆向引用）。 ·CVE-2016-0799 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.2及之前版本和1.0.1及之前版本的crypto/bio/b_print.c文件中的‘fmtstr’函數(shù)中存在安全漏洞，該漏洞源于程序沒有正確計算字符串長度。遠程攻擊者可借助較長的字符串利用該漏洞造成拒絕服務(wù)（溢出和越邊界讀取）。 ·CVE-2016-0800 描述：OpenSSL是Openssl團隊的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSLv2/v3）和安全傳輸層（TLSv1）協(xié)議的通用加密庫。該產(chǎn)品支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.1s之前版本和1.0.2g之前1.0.2版本中使用的SSLv2協(xié)議存在信息泄露漏洞，攻擊者可利用該漏洞通過DROWN攻擊方式破解采用TLS協(xié)議加密的會話數(shù)據(jù)。 ·CVE-2016-2105 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.1t之前版本和1.0.2h之前1.0.2版本的crypto/evp/encode.c文件中的‘EVP_EncodeUpdate’函數(shù)中存在整數(shù)溢出漏洞。遠程攻擊者可借助大量的二進制數(shù)據(jù)利用該漏洞造成拒絕服務(wù)（堆內(nèi)存損壞）。 ·CVE-2016-2106 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.1t之前版本和1.0.2h之前1.0.2版本的crypto/evp/evp_enc.c文件中的‘EVP_EncryptUpdate’函數(shù)中存在整數(shù)溢出漏洞。遠程攻擊者可借助大量的數(shù)據(jù)利用該漏洞造成拒絕服務(wù)（堆內(nèi)存損壞）。 ·CVE-2016-2107 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.1t之前版本和1.0.2h之前1.0.2版本的AES-NI實現(xiàn)過程中存在安全漏洞，該漏洞源于程序在進行填充檢查時沒有考慮內(nèi)存分配。遠程攻擊者可通過向AES CBC會話實施padding-oracle攻擊利用該漏洞獲取敏感的明文信息。（注：該漏洞源于CNNVD-201302-133補丁的不完全修復(fù)） ·CVE-2016-2108 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。 OpenSSL 1.0.1o之前版本和1.0.2c之前1.0.2版本的ASN.1實現(xiàn)過程中存在安全漏洞。遠程攻擊者可借助特制的序列化數(shù)據(jù)中的ANY字段利用該漏洞執(zhí)行任意代碼或造成拒絕服務(wù)（緩沖區(qū)溢出和內(nèi)存損壞）。 ·CVE-2016-2109 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.1t之前版本和1.0.2h之前1.0.2版本的ASN.1 BIO實現(xiàn)過程中的crypto/asn1/a_d2i_fp.c文件中的‘a(chǎn)sn1_d2i_read_bio’函數(shù)存在安全漏洞。遠程攻擊者可借助較短的無效編碼利用該漏洞造成拒絕服務(wù)（內(nèi)存損壞）。 ·CVE-2016-2177 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.2h及之前版本中存在安全漏洞，該漏洞源于程序使用指針運算進行堆緩沖區(qū)邊界檢查。遠程攻擊者可借助錯誤的內(nèi)存分配利用該漏洞造成拒絕服務(wù)（整數(shù)溢出和應(yīng)用程序崩潰）。 ·CVE-2016-2178 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL DSA是其中的一個加密算法。OpenSSL的crypto/dsa/dsa_ossl.c文件中的‘dsa_sign_setup’函數(shù)中存在安全漏洞，該漏洞源于程序沒有正確確保執(zhí)行constant-time操作。本地攻擊者可通過實施邊信道攻擊利用該漏洞恢復(fù)私有的DSA密鑰。 ·CVE-2016-2179 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.2h及之前的版本中的DTLS實現(xiàn)過程中存在安全漏洞，該漏洞源于程序沒有正確限制隊列條目與未使用的out-of-order消息相關(guān)聯(lián)的使用周期。遠程攻擊者可借助大量特制的DTLS會話利用該漏洞造成拒絕服務(wù)（內(nèi)存損壞）。 ·CVE-2016-2180 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.2h及之前版本中的X.509 Public Key Infrastructure Time-Stamp Protocol (TSP)實現(xiàn)過程中的crypto/ts/ts_lib.c文件中的‘TS_OBJ_print_bio’函數(shù)存在安全漏洞。遠程攻擊者可借助特性的time-stamp文件利用該漏洞造成拒絕服務(wù)（越邊界讀取和應(yīng)用程序崩潰）。 ·CVE-2016-2181 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.2h及之前的版本中的DTLS實現(xiàn)過程中的Anti-Replay功能存在安全漏洞。遠程攻擊者可借助偽造的DTLS記錄利用該漏洞造成拒絕服務(wù)（false-positive分組丟失）。 ·CVE-2016-2182 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.2h及之前的版本中的crypto/bn/bn_print.c文件中的‘BN_bn2dec’函數(shù)存在安全漏洞，該漏洞源于程序沒有正確驗證除法結(jié)果。遠程攻擊者可利用該漏洞造成拒絕服務(wù)（越邊界寫入和應(yīng)用程序崩潰）。 ·CVE-2016-2842 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.1s之前1.0.1版本和1.0.2g之前1.0.2版本的crypto/bio/b_print.c文件中的‘doapr_outch’函數(shù)存在安全漏洞，該漏洞源于程序沒有驗證內(nèi)存分配是否成功。遠程攻擊者可借助較長的字符串利用該漏洞造成拒絕服務(wù)（越邊界寫入或內(nèi)存消耗）。 ·CVE-2016-6302 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.2h及之前的版本中的ssl/t1_lib.c文件中的‘tls_decrypt_ticket’函數(shù)存在安全漏洞，該漏洞源于程序驗證ticket長度時，沒有設(shè)置HMAC的大小值。遠程攻擊者可利用該漏洞造成拒絕服務(wù)。 ·CVE-2016-6304 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL中的t1_lib.c文件存在內(nèi)存泄露漏洞。遠程攻擊者可借助大的OCSP Status Request擴展利用該漏洞造成拒絕服務(wù)（內(nèi)存損壞）。以下版本受到影響：OpenSSL 1.0.1u之前的版本，1.0.2i之前的1.0.2版本，1.1.0a之前的1.1.0版本。 ·CVE-2016-6306 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.0.1u之前的版本和1.0.2i之前的1.0.2版本中的證書解析器存在安全漏洞。遠程攻擊者可借助特制的證書操作利用該漏洞造成拒絕服務(wù)（越邊界讀取）。 ·CVE-2016-8610 描述：OpenSSL是OpenSSL團隊開發(fā)的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSL v2/v3）和安全傳輸層（TLS v1）協(xié)議的通用加密庫，它支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。 OpenSSL中的ALERT數(shù)據(jù)包的處理存在拒絕服務(wù)漏洞。遠程攻擊者可利用該漏洞造成TLS/SSL服務(wù)器消耗大量的CPU，并使設(shè)備無法接受其他客戶端的連接。以下版本受到影響：OpenSSL 0.9.8版本，1.0.1版本，1.0.2版本至1.0.2h版本，1.1.0版本。 ·CVE-2017-3731 描述：OpenSSL是OpenSSL團隊的一個開源的能夠?qū)崿F(xiàn)安全套接層（SSLv2/v3）和安全傳輸層（TLSv1）協(xié)議的通用加密庫。該產(chǎn)品支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。OpenSSL 1.1.0版本和1.0.2版本中存在安全漏洞。攻擊者可利用該漏洞造成拒絕服務(wù)（越邊界讀取和崩潰）。 2.受影響的軟件包 ·中標(biāo)麒麟高級服務(wù)器操作系統(tǒng) V6 ·x86_64架構(gòu): openssl、openssl-devel、openssl-perl、openssl-static 3.軟件包修復(fù)版本 ·中標(biāo)麒麟高級服務(wù)器操作系統(tǒng) V6 (x86_64) openssl-1.0.1e-57.el6或以上版本 openssl-devel-1.0.1e-57.el6或以上版本 openssl-perl-1.0.1e-57.el6或以上版本 openssl-static-1.0.1e-57.el6或以上版本 4.修復(fù)方法 方法一：配置源進行升級安裝 1.打開軟件包源配置文件，根據(jù)倉庫地址進行修改。 倉庫源地址： 中標(biāo)麒麟高級服務(wù)器操作系統(tǒng) V6 x86_64:https://update.cs2c.com.cn/NS/V6/V6.9/os/lic/base/x86_64/ 2.配置完成后執(zhí)行更新命令進行升級，命令如下： yum update Packagename 方法二：下載安裝包進行升級安裝 通過軟件包地址下載軟件包，使用軟件包升級命令根據(jù)受影響的軟件包 列表進行升級安裝, 命令如下： yum install Packagename 3.升級完成后是否需要重啟服務(wù)或操作系統(tǒng)： CVE-2010-5298:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2013-0169:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2013-4353:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2013-6449:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2013-6450:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2014-0160:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2014-0195:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2014-0198:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2014-0221:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2014-3470:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2014-3505:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2014-3506:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2014-3507:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2014-3508:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2014-3509:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2014-3510:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2014-3511:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2014-3513:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2014-3567:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2014-3570:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2014-3571:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2014-3572:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2014-8176:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2014-8275:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2015-0204:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2015-0205:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2015-0206:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2015-0209:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2015-0286:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2015-0287:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2015-0288:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2015-0289:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2015-0292:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2015-0293:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2015-1789:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2015-1790:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2015-1791:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2015-1792:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2015-3194:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2015-3195:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2015-3196:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2015-3197:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2015-3216:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2015-4000:無需重啟操作系統(tǒng)與服務(wù)即可使漏洞修復(fù)生效。 CVE-2015-7575:無需重啟操作系統(tǒng)與服務(wù)即可使漏洞修復(fù)生效。 CVE-2016-0702:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2016-0703:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2016-0704:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2016-0705:無需重啟操作系統(tǒng)與服務(wù)即可使漏洞修復(fù)生效。 CVE-2016-0797:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2016-0799:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2016-0800:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2016-2105:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2016-2106:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2016-2107:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2016-2108:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2016-2109:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2016-2177:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2016-2178:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2016-2179:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2016-2180:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2016-2181:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2016-2182:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2016-2842:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2016-6302:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2016-6304:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2016-6306:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2016-8610:需要重啟 openssl 以使漏洞修復(fù)生效。 CVE-2017-3731:需要重啟 openssl 以使漏洞修復(fù)生效。 5.軟件包下載地址 ·中標(biāo)麒麟高級服務(wù)器操作系統(tǒng) V6 openssl(x86_64)軟件包下載地址: https://update.cs2c.com.cn/NS/V6/V6.10/os/lic/updates/x86_64/Packages/openssl-1.0.1e-57.el6.i686.rpm https://update.cs2c.com.cn/NS/V6/V6.9/os/lic/base/x86_64/Packages/openssl-1.0.1e-57.el6.i686.rpm https://update.cs2c.com.cn/NS/V6/V6.10/os/lic/updates/x86_64/Packages/openssl-1.0.1e-57.el6.x86_64.rpm https://update.cs2c.com.cn/NS/V6/V6.9/os/lic/base/x86_64/Packages/openssl-1.0.1e-57.el6.x86_64.rpm https://update.cs2c.com.cn/NS/V6/V6.10/os/lic/updates/x86_64/Packages/openssl-devel-1.0.1e-57.el6.i686.rpm https://update.cs2c.com.cn/NS/V6/V6.9/os/lic/base/x86_64/Packages/openssl-devel-1.0.1e-57.el6.i686.rpm https://update.cs2c.com.cn/NS/V6/V6.10/os/lic/updates/x86_64/Packages/openssl-devel-1.0.1e-57.el6.x86_64.rpm https://update.cs2c.com.cn/NS/V6/V6.9/os/lic/base/x86_64/Packages/openssl-devel-1.0.1e-57.el6.x86_64.rpm https://update.cs2c.com.cn/NS/V6/V6.10/os/lic/updates/x86_64/Packages/openssl-perl-1.0.1e-57.el6.x86_64.rpm https://update.cs2c.com.cn/NS/V6/V6.9/os/lic/base/x86_64/Packages/openssl-perl-1.0.1e-57.el6.x86_64.rpm https://update.cs2c.com.cn/NS/V6/V6.10/os/lic/updates/x86_64/Packages/openssl-static-1.0.1e-57.el6.i686.rpm https://update.cs2c.com.cn/NS/V6/V6.9/os/lic/base/x86_64/Packages/openssl-static-1.0.1e-57.el6.i686.rpm https://update.cs2c.com.cn/NS/V6/V6.10/os/lic/updates/x86_64/Packages/openssl-static-1.0.1e-57.el6.x86_64.rpm https://update.cs2c.com.cn/NS/V6/V6.9/os/lic/base/x86_64/Packages/openssl-static-1.0.1e-57.el6.x86_64.rpm 注：其他相關(guān)依賴包請到相同目錄下載 6.修復(fù)驗證 使用軟件包查詢命令，查看相關(guān)軟件包版本是否與修復(fù)版本一致，如果版本一致，則說明修復(fù)成功。 sudo rpm -qa | grep Packagename