openssl漏洞修复

Openssl 漏洞修复

一，SSL/TLS协议信息泄露漏洞(CVE-2016-2183)

1, 漏洞分析

CVE-2016-2183是指OpenSSL中的一个漏洞，该漏洞可能允许攻击者获取SSL/TLS连接中的会话密钥，进而获取或篡改客户端和服务器之间传输的数据。
#解决办法，下载openssl稳定版本(没有固定版本，只要采用的版本能不被绿盟等这种安全软件扫描出来就行)

2，openssl下载地址

(openssl下载地址)[https://www.openssl.org/source/]

也可以wget下载源码包

wget https://www.openssl.org/source/openssl-1.1.1g.tar.gz --no-check-certificate

3， 编译安装openssl

• 此处有区分。x86服务器直接编译安装openssl

./config shared --prefix=/usr/local/openssl    #shared 是创建共享库
make 
make install

• arm服务器用交叉编译方式安装openssl

./config no-asm shared --prefix=/usr/local/openssl

4, 更新软连接

​ 检查原本openssl位置

[root@k8smaster1 local]# which openssl
/bin/openssl
[root@k8smaster1 local]# ll /bin/openssl
lrwxrwxrwx. 1 root root 37 4月  26 2020 /bin/openssl -> /usr/local/openssl-1.0.2u/bin/openssl
# 修改原本的openssl替换为新的
[root@k8smaster1 openssl-1.1.1g]# rm -rf /bin/openssl
[root@k8smaster1 openssl-1.1.1g]# which openssl
/usr/bin/which: no openssl in (/usr/local/sbin:/sbin:/bin:/usr/sbin:/usr/bin:/root/bin)
[root@k8smaster1 openssl-1.1.1g]# ln -s /usr/local/openssl/bin/openssl /usr/bin/openssl
[root@k8smaster1 openssl-1.1.1g]# which openssl
/bin/openssl

5，查看新的openssl版本

[root@k8smaster1 openssl-1.1.1g]# openssl version -a
openssl: error while loading shared libraries: libssl.so.1.1: cannot open shared object file: No such file or directory
# 报错缺少libssl.so.1.1动态库
# 加入动态库并加载
[root@k8smaster1 bin]# echo "/usr/local/openssl/lib" >> /etc/ld.so.conf
[root@k8smaster1 bin]# ldconfig -v |grep openssl
ldconfig: 无法对 /libx32 进行 stat 操作: 没有那个文件或目录
ldconfig: 多次给出路径“/usr/lib”
ldconfig: 多次给出路径“/usr/lib64”
ldconfig: 无法对 /usr/libx32 进行 stat 操作: 没有那个文件或目录
/usr/local/openssl-1.0.2u/lib:
/usr/local/openssl/lib:
        libxmlsec1-openssl.so.1 -> libxmlsec1-openssl.so.1.2.20
        libevent_openssl-2.0.so.5 -> libevent_openssl-2.0.so.5.1.9
#再次检查openssl版本
[root@k8smaster1 bin]# openssl version
OpenSSL 1.1.1g  21 Apr 2020