OpenForum RSS: Обновления OpenSSL 1.0.1r и 1.0.2f с устранением уязвимостей https://www.opennet.me/openforum/vsluhforumID3/106508.html Доступны корректирующие выпуски OpenSSL 1.0.1r (https://mta.openssl.org/pipermail/openssl-announce/2016-January/000059.html) и 1.0.2f (https://mta.openssl.org/pipermail/openssl-announce/2016-January/000060.html), содержащие исправления уязвимостей (https://mta.openssl.org/pipermail/openssl-announce/2016-January/000061.html).<br><br><br>Первая уязвимость (CVE-2016-0701 (https://www.openssl.org/news/vulnerabilities.html#2016-0701)) отнесена к категории опасных проблем и проявляется только в ветке 1.0.2. Суть проблемы в использовании предсказуемых начальных простых чисел при генерации для алгоритма Диффи&#8212;Хеллмана (Diffie-Hellman) параметров в формате X9.42. Уязвимость позволяет атакующему использовать предварительно захваченные закрытые ключи, связанные с известными простыми числами, знание которых позволяет в дальнейшем с минимальными усилиями вскрыть зашифрованные соединения, при установлении которых были использованы эти простые числа. Вторая уязвимость (CVE-2015-3197 (https://www.openssl.org/news/vulnerabili Обновления OpenSSL 1.0.1r и 1.0.2f с устранением уязвимостей (iZEN) https://www.opennet.me/openforum/vsluhforumID3/106508.html#13 Sat, 30 Jan 2016 10:51:32 GMT OpenSSL 1.0.1r в FreeBSD stable/10: https://svnweb.freebsd.org/base?view=revision&sortby=date&revision=295016<br> Обновления OpenSSL 1.0.1r и 1.0.2f с устранением уязвимостей (Аноним) https://www.opennet.me/openforum/vsluhforumID3/106508.html#12 Sat, 30 Jan 2016 09:24:36 GMT пользующиеся OpenSSL вместо LibreSSL - ССЗБ.<br> Обновления OpenSSL 1.0.1r и 1.0.2f с устранением уязвимостей (Аноним) https://www.opennet.me/openforum/vsluhforumID3/106508.html#11 Sat, 30 Jan 2016 03:17:11 GMT Спасибо удалил PFS!!!!!!!!!<br> Обновления OpenSSL 1.0.1r и 1.0.2f с устранением уязвимостей (lv7e) https://www.opennet.me/openforum/vsluhforumID3/106508.html#10 Fri, 29 Jan 2016 19:59:58 GMT Большинство SSL соединений используют DH для того, чтобы нельзя было даже украв приватные ключи и имея копию зашифрованного трафика этот самый трафик постфактум расшифровать. Эта уязвимость позволяет определить использованные параметры DH и всё-таки расшифровать дамп трафика украденными ключами.<br> Обновления OpenSSL 1.0.1r и 1.0.2f с устранением уязвимостей (Анонимус2) https://www.opennet.me/openforum/vsluhforumID3/106508.html#9 Fri, 29 Jan 2016 09:02:00 GMT man PFS<br> Обновления OpenSSL 1.0.1r и 1.0.2f с устранением уязвимостей (CHERTS) https://www.opennet.me/openforum/vsluhforumID3/106508.html#7 Fri, 29 Jan 2016 05:54:00 GMT Если у меня увели приватные ключи, то можно расшифровывать трафик и делать что угодно, в чем тогда смысл эксплуатации уязвимости?<br> Обновления OpenSSL 1.0.1r и 1.0.2f с устранением уязвимостей (Аноним) https://www.opennet.me/openforum/vsluhforumID3/106508.html#4 Thu, 28 Jan 2016 23:50:18 GMT Ваш персональный дистрибутив для одного пользователя?<br> Обновления OpenSSL 1.0.1r и 1.0.2f с устранением уязвимостей (lv7e) https://www.opennet.me/openforum/vsluhforumID3/106508.html#3 Thu, 28 Jan 2016 20:00:35 GMT Без паники. Для того, чтобы эксплуатировать CVE-2016-0701 у вас должны увести приватные ключи.<br> Обновления OpenSSL 1.0.1r и 1.0.2f с устранением уязвимостей (Michael Shigorin) https://www.opennet.me/openforum/vsluhforumID3/106508.html#1 Thu, 28 Jan 2016 18:42:37 GMT http://packages.altlinux.org/ru/Sisyphus/srpms/openssl10/changelog<br>