Opensslのバグについて

セキュリティ

今回のOpensslの問題は結構ヤバ気なバグ。
Opensslを導入している相当量のサーバーに影響は及ぶんじゃなかろうか？

 

OpenSSL の脆弱性に関する注意喚起(OpenSSL の脆弱性に関する注意喚起)
https://www.jpcert.or.jp/at/2014/at140013.html

 

以下は覚え書きを兼ねた更新メモ。

wget https://www.openssl.org/source/openssl-1.0.1g.tar.gz --no-check-certificate

でソースゲット。

tar xvf openssl-1.0.1g.tar.gz
cd openssl-1.0.1g/
./config no-shared no-idea no-mdc2 no-rc5 zlib enable-tlsext no-ssl2

 ※そのままオプションなしでconfig仕掛けると結構な率でエラーとなるので、使わないであろう暗号方式はnoオプション付けてたほうが無難です。

depend
make depend

make中に

zlib.h: そのようなファイルやディレクトリはありません

って怒られたら、ライブラリが入ってないだけなので、

yum -y install zlib-devel

で追加。(※CentOSの場合)

そしてインストール後バージョン確認。

make install
openssl version -a

この時点でバージョンが前と変わらない場合、インストール場所がOSデフォルトと違うので、元ファイルリネーム＆シンボリックリンクで対応。

mv /usr/bin/openssl /usr/bin/_openssl
ln -s /usr/local/ssl/bin/openssl /usr/bin/openssl

再度バージョン確認。

OpenSSL 1.0.1g 7 Apr 2014

と出ればOK