360鹰眼-更智能的Web安全监控系统

产品描述:

下一代web漏洞扫描器,她是一款硬件,包含:最全面的"爬出"引擎,不再需要收集资产清单,不再需要指定扫描时间,同步发现新上线业务漏洞

适用对象:

企业

价格服务:

目录价19.8万起
我了解,我要试用
高危高危

OpenSSL“心脏出血”漏洞

WASC Threat Classification

发现时间:

2017-06-25

漏洞类型:

命令执行

所属建站程序:

其他

所属服务器类型:

Weblogic

所属编程语言:

Java

描述:

目标存在OpenSSL“心脏出血”漏洞。

“心脏出血”漏洞(CVE-2014-0160)的产生是由于未能在memcpy()调用受害用户输入内容作为长度参数之前正确进行边界检查。攻击者可以追踪OpenSSL所分配的64KB缓存、将超出必要范围的字节信息复制到缓存当中再返回缓存内容,这样受害者的内存内容就会以每次64KB的速度进行泄露。

危害:

攻击者可利用该漏洞获取敏感数据,包括但不限于会话Session、cookie、账号密码,进而攻击服务器获取控制权。

解决方案:

如果你是站长,请按照下面解决方案进行修复:

第一步:

Debian/Ubuntu:

# apt-get update

# apt-get install openssl libssl1.0.0

CentOS:

# yum update openssl

openSUSE:

# zypper in -t patch openSUSE-2014-277

Redhat,Fedora等官方源未升级的,请手工将OpenSSL升级至1.0.1g版本

第二步:

修复完毕后,请重启WEB服务,Apache/Nginx/Httpd的重启方式分别如下:

# /etc/init.d/apache2 restart

# /etc/init.d/ngnix restart

# /etc/init.d/httpd restart

还需要重启其他与OpenSSL相关的服务。(可通过 lsof | grep libssl | awk '{print $1}'| sort | uniq 查看与OpenSSL库相关的服务)。

重启完毕后,可以通过上面的检查框进行验证。

如果你的网站服务器是Windows系统,建议使用"主机卫士"修复漏洞,点击下载
对该漏洞进行评论