Tengo un servidor Ubuntu 12.04. He actualizado el OpenSSLpaquete para corregir la vulnerabilidad de heartbleed. Pero aún soy vulnerable, incluso aunque haya reiniciado el servidor web, e incluso todo el servidor.

Para verificar mi vulnerabilidad utilicé:

• http://www.exploit-db.com/exploits/32745/
• http://filippo.io/Heartbleed

dpkg da:

dpkg -l |grep openssl
ii  openssl  1.0.1-4ubuntu5.12   Secure Socket Layer (SSL) binary and related cryptographic tools

(launchpad.net/ubuntu/+source/openssl/1.0.1-4ubuntu5.12)

Asegúrese de que el libssl1.0.0paquete también se haya actualizado (ese paquete contiene la biblioteca real, el opensslpaquete contiene las herramientas) y que todos los servicios que usan la biblioteca se han reiniciado después de la actualización.

Debe REINICIAR todos los servicios utilizando openssl (reinicio de apache de servicio).

Es posible que sea un caso falso positivo, según las preguntas frecuentes :

¡Estoy recibiendo falsos positivos (rojo)!

Tenga cuidado, a menos que haya fallado el sitio presionando el botón, no hay forma de que pueda pensar que un rojo no es rojo.

Compruebe el volcado de memoria, si está allí, entonces la herramienta lo obtuvo de alguna parte.

Digamos que estoy 99% seguro de que debería verse mejor si reinicia todos los procesos después de actualizar correctamente.

Actualización: aún así, recibo constantemente informes de versiones no afectadas que se vuelven rojas. Por favor, venga comentario a la cuestión si se ven afectados. Estoy buscando 3 cosas: volcados de memoria (para averiguar de dónde provienen), marcas de tiempo (lo más preciso posible, intente con la pestaña Red), una descripción completa de lo que hizo clic y escribió.

Puede probar su sitio utilizando otra herramienta como SSLLabs y ver si aún se le informa como vulnerable.
También debe informar el problema con el http://filippo.io/Heartbleed tester como se describió anteriormente.

Si está ejecutando mod_spdy, asegúrese de actualizar su instalación mod_spdy. Consulte https://groups.google.com/forum/#!topic/mod-spdy-discuss/EwCowyS1KTU para obtener más detalles. Deberá actualizar el mod_spdy deb o eliminar la versión anterior por completo.

Es probable que tenga un programa escuchando en 443 que tiene una biblioteca openssl estáticamente vinculada. Esto significa que el programa tiene su propio openssl empaquetado con él: ¡actualice este programa también! Si no está disponible, notifique al vendedor de inmediato y suspenda esta aplicación si es posible.

Es posible que experimente el error que aparece en la página de preguntas frecuentes . Parece que, bajo ciertas circunstancias, puede recibir una notificación vulnerable incluso en un sistema parcheado.

¡Estoy recibiendo falsos positivos (rojo)!

Tenga cuidado, a menos que haya fallado el sitio presionando el botón, no hay forma de que pueda pensar que un rojo no es rojo. Compruebe el volcado de memoria, si está allí, entonces la herramienta lo obtuvo de alguna parte. Digamos que estoy 99% seguro de que debería verse mejor si reinicia todos los procesos después de actualizar correctamente.

Actualización: aún así, recibo constantemente informes de versiones no afectadas que se vuelven rojas. Comente el problema si se ve afectado. Estoy buscando 3 cosas: volcados de memoria (para averiguar de dónde provienen), marcas de tiempo (lo más preciso posible, intente con la pestaña Red), una descripción completa de lo que hizo clic y escribió.

Sugeriría probar con una prueba alternativa como Qualys para confirmar que su sistema ya no es vulnerable. Si no está, dirígete a Github y repórtalo .

Todavía está roto

¿Que es? El "servidor" del que habla puede tener una biblioteca OpenSSl enlazada estática. Esto significa que, aunque haya actualizado su sistema, su aplicación aún está en riesgo. Debe hablar con el proveedor de software de inmediato para obtener un parche o desactivar el servicio hasta que lo haga.

¿Realmente tengo que deshabilitar el servicio hasta que salga el parche?

¡Sí, ejecutar un servicio vulnerable es extremadamente peligroso hasta el punto de una posible negligencia! ¡Podría estar filtrando cualquier información que el servidor descifre del transporte y ni siquiera lo sabe!

Asegúrese de que su nginx use la biblioteca del sistema: http://nginx.com/blog/nginx-and-the-heartbleed-vulnerability/

Esto es muy posible si la aplicación que se ejecuta en 443 usa una biblioteca estática para OpenSSL. Si este es el caso, debe actualizar esa aplicación para que ya no sea vulnerable.

Finalmente pude solucionar mi problema que era similar a OP. Mi servidor es una pila LAMP de Bitnami. Siguiendo estas instrucciones:

wget http://downloads.bitnami.com/files/download/opensslfixer/bitnami-opensslfixer-1.0.1g-     1-linux-x64-installer.run
chmod 755 bitnami-opensslfixer-1.0.1g-1-linux-x64-installer.run
./bitnami-opensslfixer-1.0.1g-1-linux-x64-installer.run --forcefix 1 --forcelegacy 1

http://community.bitnami.com/t/apache-error-after-the-recommended-heartbleed-patch/23530/9