ZeroBox Vulnerability Database

受影响系统：

MandrakeSoft Linux Mandrake 2008.0 – 2010.0 x86_64
Slackware Linux -current – 13.0 x86_64
Ubuntu Linux 6.06 LTS amd64 – 9.10 sparc
VMWare ESXi Server 4.0
Blue Coat Systems Blue Coat Reporter

不受影响系统：

Blue Coat Systems Blue Coat Reporter 9.2.4.1

描述：

---

BUGTRAQ  ID: 31692
CVE ID: CVE-2008-1678,CVE-2009-4355

OpenSSL是一种开放源码的SSL实现，用来实现网络通信的高强度加密，现在被广泛地用于各种网络应用程序中。

OpenSSL在实现上存在远程拒绝服务漏洞，远程攻击者可利用此漏洞通过消耗可用的内存造成使用此库的应用程序崩溃，拒绝服务合法用户。

此漏洞源于httpd的php模块存在严重的内存泄露，当启用了该模块时，在apache接收了"graceful" (USR1)信号后，每个SSLv3请求将泄露大量的内存（几百KB）。

<*来源：Joe Orton
  *>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

void Curl_ossl_cleanup(void)
{
/* Free the SSL error strings */
ERR_free_strings();

/* EVP_cleanup() removes all ciphers and digests from the
    table. */
EVP_cleanup();

#ifdef HAVE_ENGINE_cleanup
ENGINE_cleanup();
#endif

#ifdef HAVE_CRYPTO_CLEANUP_ALL_EX_DATA
/* this function was not present in 0.9.6b, but was added sometimes
    later */
CRYPTO_cleanup_all_ex_data();
#endif
}

建议：

---

厂商补丁：

MandrakeSoft
————
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://www.linux-mandrake.com/en/security/

Ubuntu
——
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://www.ubuntulinux.org/