回复：所有管站的同学注意，openssl 爆漏洞，请尽快处理

大便神速卧槽
以后服务器就上……

|23:39:52|~:$openssl
OpenSSL> version
OpenSSL 1.0.1f 6 Jan 2014
OpenSSL>
Debian testing .
什么情况。。。。

那里找这些资料详细读读？

0.9.8的openssl
貌似没事....

刚刚收到办公室网管的通告，已在patch


　——Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/33.0.1750.152 Safari/537.36
　——Tue Apr 08 2014 14:48:42 GMT-0500 (CDT)

这次的问题是连作为普通用户（client side）都可能受影响，因为客户端也用 openssl
理论上，只要有人做个钓鱼网址（或利用已经 compromised 的），就有可能窃取访问的客户端的内存内容，而且因为可以利用这个取服务器的 private key，那麼 man-in-the-middle 就很容易实现，而且是表面上看起来通过 CA 的 https 链接
楼上有人问到泄漏 64k 内存内容的严重性，那是因为如果这 64k 是随意的内容片段，影响还不会那麼大，但这次的 64k 内容属於 openssl 相关的，有极大可能其内容就包括了 secured session cookies，login credential，和 private key 的内容，其中以后者最为重要

八叔牛掰

这次貌似是一个底层的库的bug，影响非常严重远大。
大家可以去wooyun看看，一排一排的……

对普通用户而言，需要更换淘宝、网银等密码吗？

路过