[Résolus] OpenSSL faille de sécurité

lilp · Le 09/04/2014, à 08:52

Bonjour, j'ai vu ce matin qu'une faille de sécurité concernant OpenSSL avait été rendu publique.
Il m'est impossible de mettre à jour mon système, via "apt-get upgrade" j'ai toujours comme réponse "délai de connexion dépassé".
Je pense que cela est du à la trop forte affluence sur les serveur?

Apparemment on peut aussi corriger le soucis en recompilant le paquet, par contre, je n'ai jamais rien compiler, et pas envie de faire n'importe quoi.

Quelqu'un l'a peut-être déjà fait?

D'avance merci.

Dernière modification par lilp (Le 05/05/2014, à 11:52)

Shamayo · Le 09/04/2014, à 09:07

Selon la version de ton OS, la mise à jour de sécurité à déjà été déployée.

Pour vérifier si tu as la bonne version :

openssl version

Si tu n'arrive pas a faire un apt-get upgrade, c'est surement du à un soucis réseau. Que donne la commande

ping -c 4 debian.org

lilp · Le 09/04/2014, à 09:12

Le ping répond bien. lent mais il répond.
icmp_req=3 ttl=48 time=182ms
Google répond dans un temps normal "14ms"

J'ai ubuntu 12.04 et openssl est toujours en version 1.0.1

Dernière modification par lilp (Le 09/04/2014, à 09:23)

Shamayo · Le 09/04/2014, à 09:31

La commande

dpkg -s openssl | grep Version

te permet de connaître la version exacte de openssl.

Si tu veux, tu peux suivre cette discussion pour connaître les avancées des mises à jours, je pense que tout sera répertorié là-bas.

lilp · Le 09/04/2014, à 09:33

Je l'ai déjà fait, et je fiat bien partie des versions à mettre à jour.
Version : 1.0.1-4ubuntu5.11
Mais toujours pas possible de faire la MAJ

Dernière modification par lilp (Le 09/04/2014, à 09:33)

Shamayo · Le 09/04/2014, à 09:51

Je vois trois solutions pour mettre à jour ton openSSL :
- Attendre que la maj soit fournie par Canonical pour Ubuntu (sans doute dans la journée)
- Trouver un .deb quelque part sur Internet (plus dangereux..)
- Recompiler OpenSSL avec les sources fournies par OpenSSL ou sur Gitgub

Je n'ai pas les détails, mais il semblerait que tous les certificats SSL soient à renouveler.

lilp · Le 09/04/2014, à 10:09

Bon grosse connerie (désolé pour le langage de ma part), j’étaie sous une station virtuelle, j'ai changer la carte réseau et les MAJ sont passé.
Je suis donc maintenant en version : 1.0.1-4ubuntu5.12.
Qui apparemment est une version corrigée.

fly69009 · Le 09/04/2014, à 10:18

Bonjour,

MAJ effectuée 1.0.1-4ubuntu5.12 sur ubuntu 12.04.2 LTS ,
mais en re-testant sur le site http://filippo.io/Heartbleed/ , tj vulnérable ....

fly69009 · Le 09/04/2014, à 10:22

rectif , sur un de mes serveurs , le test est bon maintenant , il doit y avoir une histoire de cache qqe part ,
je vais attendre pour les autres

lilp · Le 09/04/2014, à 10:34

Oui il faut bien redémarrer les services.

Nasman · Le 10/04/2014, à 13:48

Toujours pas de correctif pour Ubuntu 12.04 ?

Shamayo · Le 10/04/2014, à 13:53

Si. La version ubuntu5.12 est corrigée !

grandtoubab · Le 10/04/2014, à 15:51

Salut,
les versions correctives:
The problem can be corrected by updating your system to the following package version:

Ubuntu 13.10:
libssl1.0.0 1.0.1e-3ubuntu1.2

Ubuntu 12.10:
libssl1.0.0 1.0.1c-3ubuntu2.7

Ubuntu 12.04 LTS:
libssl1.0.0 1.0.1-4ubuntu5.12

http://www.ubuntu.com/usn/usn-2165-1/

JackPotte · Le 11/05/2015, à 10:40

Curieux qu'en l'an de grâce 2015 Ubuntu Server 14.10 "Utopic Unicorn" soit livré avec la version réputée avoir la faille (OpenSSL 1.0.1f 6 Jan 2014), et qu'il n'indique aucune mise à jour pour le paquet openssl.
Idem en migrant vers la bêta de Ubuntu 15.04.

Du coup je m'en suis remis à http://www.liquidweb.com/kb/update-and- … erability/, qui stipule que si la commande ci-dessous renvoie quelque chose, c'est que la faille est corrigée :

apt-get changelog openssl | grep CVE-2014-0224

Mais après avoir installé Apache, https://filippo.io/Heartbleed/ me dit "tls: oversized record received with length 20527".

Dernière modification par JackPotte (Le 11/05/2015, à 15:34)

bobe · Le 11/05/2015, à 17:22

D'autres infos ici :
http://www.ubuntu.com/usn/usn-2232-1/

Ubuntu-fr

Navigation

Liens de recherche

Annonce

#1 Le 09/04/2014, à 08:52

[Résolus] OpenSSL faille de sécurité

#2 Le 09/04/2014, à 09:07

Re : [Résolus] OpenSSL faille de sécurité

#3 Le 09/04/2014, à 09:12

Re : [Résolus] OpenSSL faille de sécurité

#4 Le 09/04/2014, à 09:31

Re : [Résolus] OpenSSL faille de sécurité

#5 Le 09/04/2014, à 09:33

Re : [Résolus] OpenSSL faille de sécurité

#6 Le 09/04/2014, à 09:51

Re : [Résolus] OpenSSL faille de sécurité

#7 Le 09/04/2014, à 10:09

Re : [Résolus] OpenSSL faille de sécurité

#8 Le 09/04/2014, à 10:18

Re : [Résolus] OpenSSL faille de sécurité

#9 Le 09/04/2014, à 10:22

Re : [Résolus] OpenSSL faille de sécurité

#10 Le 09/04/2014, à 10:34

Re : [Résolus] OpenSSL faille de sécurité

#11 Le 10/04/2014, à 13:48

Re : [Résolus] OpenSSL faille de sécurité

#12 Le 10/04/2014, à 13:53

Re : [Résolus] OpenSSL faille de sécurité

#13 Le 10/04/2014, à 15:51

Re : [Résolus] OpenSSL faille de sécurité

#14 Le 11/05/2015, à 10:40

Re : [Résolus] OpenSSL faille de sécurité

#15 Le 11/05/2015, à 17:22

Re : [Résolus] OpenSSL faille de sécurité

Pied de page des forums