主页 / server / 问题 / 788773
Accepted
allo
Asked: 2016-07-09 12:44:41 +0800 CST

如何修复 debian jessie 上的 nginx 的 OpenSSL Padding Oracle 漏洞 (CVE-2016-2107)？

  • 772

据我了解，升级openssl（很久以前完成，现在再次安装所有可用更新（那里没有openssl））并重新启动nginx就足够了。我什至试图完全停止 nginx（用 验证它ps）并重新启动它。

但是 ssllabs 仍然告诉我，我很脆弱。我还需要做什么，或者是什么导致它仍然脆弱？

版本：

ii  nginx                              1.9.10-1                          all          small, powerful, scalable web/proxy server
ii  nginx-common                       1.9.10-1                          all          small, powerful, scalable web/proxy server - common files
ii  nginx-full                         1.9.10-1                          amd64        nginx web/proxy server (standard version)
ii  openssl                            1.0.1t-1+deb8u2                   amd64        Secure Sockets Layer toolkit - cryptographic utility

ii  libssl-dev:amd64                   1.0.1t-1+deb8u2                   amd64        Secure Sockets Layer toolkit - development files
ii  libssl-doc                         1.0.1t-1+deb8u2                   all          Secure Sockets Layer toolkit - development documentation
ii  libssl1.0.0:amd64                  1.0.1t-1+deb8u2                   amd64        Secure Sockets Layer toolkit - shared libraries
ii  libssl1.0.2:amd64                  1.0.2f-2                          amd64        Secure Sockets Layer toolkit - shared libraries

与nginx相关的lsof

lsof 2>/dev/null |grep -i libssl|grep nginx
nginx     17928              root  mem       REG              251,0    430560    2884885 /usr/lib/x86_64-linux-gnu/libssl.so.1.0.2
nginx     17929          www-data  mem       REG              251,0    430560    2884885 /usr/lib/x86_64-linux-gnu/libssl.so.1.0.2
nginx     17930          www-data  mem       REG              251,0    430560    2884885 /usr/lib/x86_64-linux-gnu/libssl.so.1.0.2
nginx     17932          www-data  mem       REG              251,0    430560    2884885 /usr/lib/x86_64-linux-gnu/libssl.so.1.0.2
nginx     17933          www-data  mem       REG              251,0    430560    2884885 /usr/lib/x86_64-linux-gnu/libssl.so.1.0.2
debian nginx openssl

3 个回答

  1. Best Answer

    我知道了。

    我certbot从 debian 不稳定安装，它安装了1.0.2f-2. 不稳定被固定到优先级“-100”（除非使用 请求，否则不要从不稳定安装-t unstable）。这意味着版本介于 jessie 版本1.0.0X-Y和当前的不稳定版本之间1.0.2.h-1。这阻止了在不稳定中升级到下一个版本，而稳定中的升级是相对于版本号的“旧”版本。

    • 2

  2. 安装必要的更新（如评论中的https://serverfault.com/users/126632/michael-hampton所建议）似乎可以解决我的问题。

    apt-get update && apt-get upgrade
    • 2

  3. 我在 Debian Wheezy 服务器上遇到了类似的问题。https://www.ssllabs.com/ssltest/总是显示我的服务器容易受到CVE-2016-2107. （在我看来）具有相同配置的其他服务器没有此安全问题。

    openssl、apache、php - 所有相同的版本和相同的配置。

    经过一番调查，我发现它mod_spdy已在此特定服务器上安装并激活。

    卸载后mod_spdy问题解决。

    dpkg -r mod-spdy-beta 
dpkg -P mod-spdy-beta

    来自https://stackoverflow.com/questions/25593257/how-do-i-remove-spdy-mod-spdy

    • 0

相关问题