FreeBSD-SA-14:06.openssl

先日公表されたopensslのセキュリティホール。かなり重大な問題になりそうで、じわじわとニュースサイトでも取り上げられていますね。ちょっと誇張しすぎな気もしますが。

さて、FreeBSDではどうなんでしょうか。

FreeBSD 10は、確実にアウトです。openssl 1.0.1ホゲなので…

そんなこともあろうかと[E:coldsweats01]　うちの周辺では、まだFreeBSD 8/9が主流。portsでopensslをインストールしていませんでした。なので、openssl 0.9.8ホゲです。

% openssl version
OpenSSL 0.9.8y 5 Feb 2013

ああ、安心。とおもってたら、

FreeBSD-SA-14:06.openssl
http://www.freebsd.org/security/advisories/FreeBSD-SA-14:06.openssl.asc

を見ると

Affects:  All supported versions of FreeBSD.

となってるじゃないですか。あれ？
よくよく読んでみると、２つのセキュリティホールを１つのsecurity advisory(SA)で発表しているんですね。

１つめは、やばいやばいと言われている方。最大64KBまでのメモリ内容が、リモートから盗み見られてしまうもの。これは、FreeBSD10が該当すると書いてあります。FreeBSD 8/9でもportsでopensslを入れて使っている場合も該当ですね。

もう１つは、どうやらサイドチャネル攻撃ができてしまうかも、というセキュリティホールです。これが、FreeBSD全バージョンに該当するそうです。リンク先を斜め読みしたところでは、local user exploitableっぽいです。ネットワークからの攻撃は成立しないのかも？

☆

とりあえず、あちこちのFreeBSDマシンをアップデート。
freebsd-update fetch
freebsd-update install
したり、
pkg upgrade
とか
portmaster　ホゲホゲ
とかして、
ホゲホゲ restart
とかしました。

これで大丈夫かな。サーバーの鍵も、作り直すべきかな。