【漏洞修复】 CVE Linux 系统应用漏洞修复笔记

---

👇👇👇👇公众号内 无障碍无限制 阅读👇👇👇👇

发送关键字获取内容： 漏洞修复

👆👆👆👆公众号内无障碍无限制阅读👆👆👆👆👆👆

---

说明

此文章主要记录工作中遇到的漏洞以及修复过程。

SSL/TLS协议信息泄露漏洞(CVE-2016-2183)

漏洞信息

名称	SSL/TLS协议信息泄露漏洞(CVE-2016-2183)【原理扫描】【可验证】
详细描述	TLS是安全传输层协议，用于在两个通信应用程序之间提供保密性和数据完整性。TLS, SSH, IPSec协商及其他产品中使用的IDEA、DES及Triple DES密码或者3DES及Triple 3DES存在大约四十亿块的生日界，这可使远程攻击者通过Sweet32攻击，获取纯文本数据。
危险程度说明	攻击者可以远程执行任意命令或者代码，或对系统进行远程拒绝服务攻击。
发现日期	2016-08-31
CVE编号	CVE-2016-2183
CNVD编号	CNVD-2016-06765
CNNVD编号	CNNVD-201608-448
CNCVE编号	CNCVE-20162183

解决办法

建议：避免使用IDEA、DES和3DES算法

1. OpenSSL Security Advisory [22 Sep 2016]
   链接：https://www.openssl.org/news/secadv/20160922.txt
   请在下列网页下载最新版本：
   https://www.openssl.org/source/
2. 对于nginx、apache、lighttpd等服务器禁止使用DES加密算法
   主要是修改conf文件
3. Windows系统可以参考如下链接：
   https://social.technet.microsoft.com/Forums/en-US/31b3ba6f-d0e6-417a-b6f1-d0103f054f8d/ssl-medium-strength-cipher-suites-supported-sweet32cve20162183?forum=ws2016

https://docs.microsoft.com/zh-cn/troubleshoot/windows-server/windows-security/restrict-cryptographic-algorithms-protocols-schannel

验证方法

根据SSL/TLS协议信息泄露漏洞(CVE-2016-2183)原理，通过发送精心构造的数据包到目标服务，根据目标的响应情况，验证漏洞是否存在

修复步骤

说明

原本我的nginx中使用的openssl 版本号为：1.0.2s
升级后的openssl 版本号为：1.1.1K

查询当前使用的openssl版本号

使用命令查询当前版本号

openssl version

下载并安装新版本的openssl

进入到 /usr/local 目录，使用以下命令下载最新版的安装包到此目录下。

wget https://www.openssl.org/source/openssl-1.1.1k.tar.gz --no-check-certificate

解压安装包

tar xvf openssl-1.1.1k.tar.gz 

进入解压出来的文件夹

 cd /usr/local/openssl-1.1.1k/

编译安装

./config && make && make install

echo "/usr/local/lib64/" >> /etc/ld.so.conf