OpenSSL 发布漏洞补丁

7 年 2023 月 XNUMX 日 - OpenSSL 漏洞概述：

OpenSSL 发布了针对两个免费支持的开源二进制版本（3.0 和 1.1.1x）的漏洞补丁。它还修复了付费订阅版本 1.0.2 的漏洞。虽然企业有其付费支持的理由，但现在或许是考虑停止付费支持的好时机。这些漏洞中有七个是内存管理问题。据称，在 C 语言编程中，安全的内存管理较为困难。第八个漏洞是时序问题。本文的总结建议是：审查您的架构并尽快修复受影响的 OpenSSL 系统。现在让我们来看看哪些版本受到影响。

受影响的 OpenSSL 版本：

更新 OpenSSL 后您希望看到的版本是：

• 3.0系列：新版本将是3.0.8。
• 1.1.1 系列：新版本将是 1.1.1t（末尾是 T-for-Tango）。
• 1.0.2 系列：新版本将是 1.0.2zg（Zulu-Golf）。

如果您有这些版本，让我们接下来看看您应该做什么和计划什么。

你该怎么办？

企业需要为其 OpenSSL 部署打补丁。尤其要注意那些将 OpenSSL 捆绑到其版本中的应用程序。确保您拥有所有硬件和软件资产的准确清单。检查您的软件数据库，以确定这些漏洞可能造成的影响。对于应用程序捆绑了自身 OpenSSL 版本的系统，在打补丁时务必谨慎。如果您有办法使用身份验证扫描系统，请务必执行此操作，以确保在打补丁前后都已为所有已安装的 OpenSSL 版本打上补丁。在为 Linux 系统打补丁时，有一些特殊情况需要注意。请查阅您的操作系统供应商关于 OpenSSL 补丁的建议。是否存在任何替代打补丁的方法？

如果无法修补，请采取紧急解决方法：

目前除了打补丁之外，尚无已知的解决方案可以缓解这些风险。现在我们来谈谈漏洞管理。

您有一个漏洞警报管理流程，对吗？

如果您订阅了 CyberHoot 的意识培训平台，您可以访问我们的政策和流程库，其中包含漏洞警报管理流程 (VAMP) 文档。该文档规定了如何应对此类情况以及在什么时间范围内进行响应。如果您的公司尚未采用类似 VAMP 的流程，现在正是开始的好时机。

如果您是 vCISO 客户，我们已为您构建了此流程，现在您必须按照规定的措施和时间框架执行。如果您不是 vCISO 客户或 Cyber​​Hoot 产品订阅用户，您或许可以点击此处注册。

来源：

OpenSSL 修复了高严重性数据窃取错误——现在打补丁！

OpenSSL.org 的 OpenSSL 咨询页面

立即使用 CyberHoot 保护您的业务！！！

注册领取优惠