freeradius отказывается запускаться, потому что говорит, что OpenSSL уязвим

Я работаю с Ubuntu 14.04 и не могу запустить freeradius Деймон (Freeradius-сервер-3.0.9). У меня есть эта ошибка, которую я не могу решить:

Refusing to start with libssl version OpenSSL 1.0.1f 6 Jan 2014    
0x1000106f (1.0.1f release) (in range 1.0.1 dev - 1.0.1f release)
Security advisory CVE-2014-0160 (Heartbleed)
For more information see http://heartbleed.com
Once you have verified libssl has been correctly patched, set    
security.allow_vulnerable_openssl = 'CVE-2014-0160'

dpkg -l | grep openssl

ii  libgnutls-openssl27:i386                              2.12.23-12ubuntu2.2                                 i386         GNU TLS library - OpenSSL wrapper
ii  openssl                                               1.0.1f-1ubuntu2.15                                  i386         Secure Sockets Layer toolkit - cryptographic utility
ii  python-openssl                                        0.13-2ubuntu6                                       i386         Python 2 wrapper around the OpenSSL library

apt-cache policy freeradius

freeradius:
  Installed: (none)
  Candidate: 2.1.12+dfsg-1.2ubuntu8.1
  Version table:
     2.1.12+dfsg-1.2ubuntu8.1 0
        500 http://us.archive.ubuntu.com/ubuntu/ trusty-updates/main i386 Packages
     2.1.12+dfsg-1.2ubuntu8 0
        500 http://us.archive.ubuntu.com/ubuntu/ trusty/main i386 Packages

apt-cache policy libssl1.0.0:i386

  Installed: (none)
  Candidate: 2.1.12+dfsg-1.2ubuntu8.1
  Version table: 
     2.1.12+dfsg-1.2ubuntu8.1 0 
        500 http://us.archive.ubuntu.com/ubuntu trusty-updates/main i386 Packages
     2.1.12+dfsg-1.2ubuntu8 0
        500 http://us.archive.ubuntu.com/ubuntu trusty/main i386 Packages
Источник

2 ответа

Решение

Какие freeradius делает, по-видимому, обнаруживает чисто по строке версии, возвращаемой OpenSSL в ОС. К сожалению, эта строка версии НЕ учитывает номера ревизий Ubuntu или Debian.

Обновления безопасности Ubuntu обычно устанавливаются через -#ubuntu# запись журнала изменений стиля в пакете и устанавливаемые пакеты, в которых обновления безопасности происходят из RELEASE-security хранилище, где RELEASE это кодовое название для версии Ubuntu, на которой вы находитесь.

Из-за этого мы должны изучить конкретный CVE и проверить трекер CVE команды безопасности Ubuntu. На странице с подробным описанием CVE Heartbleed (CVE-2014-0160) в трекере Ubuntu Security Team указано, что в следующих версиях были применены исправления для исправления проблемы OpenSSL Heartbleed:

  • Точный: исправлено в упаковке openssl версия пакета 1.0.1-4ubuntu5.12
  • Надежность: исправлено в пакете openssl версия пакета 1.0.1f-1ubuntu2

Если вы загрузили все обновления OpenSSL из репозиториев безопасности, и по крайней мере 1.0.1f-1ubuntu2 установлен OpenSSL (и ваша информация гласит, что 1.0.1f-1ubuntu2.15 установлено), все будет в порядке.

Если приведенное выше соответствует вашему случаю, тогда вы можете следовать инструкциям, которые предоставляет вам сообщение об ошибке, и поместить эту строку, вероятно, как часть файлов конфигурации: security.allow_vulnerable_openssl = 'CVE-2014-0160'

Источник

Это небольшое продолжение ответа @"Thomas Ward".

Файл конфигурации для редактирования:

radiusd.conf

и редактирование:

security {
    [...]
    #allow_vulnerable_openssl = no
    allow_vulnerable_openssl = 'CVE-2016-6304'
    }
Источник
Другие вопросы по тегам