• [^] # Re: Debian Jessie

    Posté par (site web personnel, Mastodon) . En réponse à la dépêche Nouvelle vulnérabilité dans l’implémentation OpenSSL. Évalué à -1. Dernière modification le 09 avril 2014 à 06:36.

    Méfiance, hier chez Debian ils disaient que la 1.0.1e-2+deb7u5 était corrigée, mais il semble que non.

    Hier sur https://security-tracker.debian.org/tracker/CVE-2014-0160 on lisait :

    wheezy 1.0.1e-2+deb7u4 vulnerable
wheezy (security) 1.0.1e-2+deb7u5 fixed

    hors pourtant :

    root@box:~ # apt-get update
root@box:~ # apt-get -y install openssl=1.0.1e-2+deb7u5
root@box:~ # reboot
luser@box:~ $ wget http://pastebin.com/download.php?i=WmxzjkXJ -O ssltest.py
luser@box:~ $ python ssltest.py localhost | tail -n 1
WARNING: server returned more data than it should - server is vulnerable!

    Alors qu’on devrait obtenir quelque chose comme :

    luser@box:~ $ python ssltest.py linuxfr.org | tail -n 1
No heartbeat response received, server likely not vulnerable

    Aujourd’hui sur https://security-tracker.debian.org/tracker/CVE-2014-0160 on lit :

    wheezy 1.0.1e-2+deb7u4 vulnerable
wheezy (security) 1.0.1e-2+deb7u6 fixed

    Une version 1.0.1e-2+deb7u6 serait sortie, mais là-encore...

    root@box:~ # apt-get update
root@box:~ # apt-get -y install openssl=1.0.1e-2+deb7u6
root@box:~ # reboot
luser@box:~ $ python ssltest.py localhost | tail -n 1
WARNING: server returned more data than it should - server is vulnerable!

    Qui croire ?

    ce commentaire est sous licence cc by 4 et précédentes