「OpenSSLでメモリ内容を外部から読み取られる脆弱性が発見される」記事へのコメント

FreeBSD

[Anonymous Coward]

FreeBSD 8.4、NetBSD 5.0.2およびこれら以降のリリースはすべて攻撃される恐れがあるという

FreeBSD8.4や9.1は問題の拡張機能(?)使ってないから大丈夫 [freebsd.org]って話もあるけど・・・

# 10は影響を受けるけどportは修正した [freebsd.org]みたい。
# 但しまだSecurity Advisoryは出ていない模様。

Re:

[wedge (14149)]

FreeBSD では base にも OpenSSL が入っているので、ports のを使うときは関係するものいっさいつくり直す必要がある、だったような……

「解説サイト」の version 情報はそれぞれのリリース時点に対応する ports の version のようです。
8.4-R, 9.1(9.2)-R で base のままで使っているんだったら 0.9.8y なので(そんなことでいいのか、とかそういう話までは知らん)この件についてはセーフ。
もちろん 10-R は 1.0.1f だからあたりなので、

> # 10は影響を受けるけどportは修正したみたい。
> # 但しまだSecurity Advisoryは出ていない模様。

SA でたら freebsd-update で更新すれば、とか思っていると手遅れってことですね(ぎょぎょ)。
※ いや、そうでなくても手遅れかもって話みたいだけど

Re:FreeBSD

[wedge (14149)]

すみません、ミスが。
> 10-R は 1.0.1f

1.0.1e(1.0.1e-freebsd) っていってますね。
この件を含む SA も出たので freebsd-update して -p1 になったけど、この表示は変わらずみたい

Re:FreeBSD

[shibuya (17159)]

Message-Id: <[e-mail]>
FreeBSD Security Advisory FreeBSD-SA-14:06.openssl [REVISED]　が発行されてますね。

Category: contrib
Module: openssl
Announced: 2014-04-08
Affects: All supported versions of FreeBSD.
Corrected: 2014-04-08 18:27:39 UTC (stable/10, 10.0-STABLE)
                                2014-04-08 18:27:46 UTC (releng/10.0, 10.0-RELEASE-p1)
                                2014-04-08 23:16:19 UTC (stable/9, 9.2-STABLE)
                                2014-04-08 23:16:05 UTC (releng/9.2, 9.2-RELEASE-p4)
                                2014-04-08 23:16:05 UTC (releng/9.1, 9.1-RELEASE-p11)
                                2014-04-08 23:16:19 UTC (stable/8, 8.4-STABLE)
                                2014-04-08 23:16:05 UTC (releng/8.4, 8.4-RELEASE-p8)
                                2014-04-08 23:16:05 UTC (releng/8.3, 8.3-RELEASE-p15)
CVE Name: CVE-2014-0076, CVE-2014-0160