OpenSSL 0.9.8h는 CVE-2014-0195의 영향을 받습니까?

Question

OpenSSL 098h가 CVE-2014-0195의 영향을 받는지 알아 내기 위해 시간을 보냈습니다.하지만이 질문에 답하기 위해 전체 파일 d1_both.c을 이해해야합니다.

1) 0.9.8h처럼 모든 조각 재 조립 작업이 추가되었으므로 0.9.8h는 위의 CVE에 취약하지 않습니다. 그리고이 패치는 모두 조각 재 조립에 관한 것입니다.

함수 dtls1_reassembly_fragment은() 098h에없는, 그래서 하나는 우리가 괜찮 가정 할 수

2) 그러나 버그에 대한 '단편의 길이에 대해 '단편의 실제 크기를 '확인되지 자세히 살펴보면 쇼 조각의 헤더에 저장 '

나는 코드 흐름을 이해하는 동안 계속 도움이된다.

Answer 1

https://www.openssl.org/news/vulnerabilities.html은 2014 년 6 월 23 일에 게시되었다. OpenSSL 0.9.8h는 CVE-2014-0195의 영향을받지 않습니다. 나는 그것을 위해 패치를 가지고있는 098za로 업그레이드하지 않으려면

만은 OpenSSL 버전 0.9.8o & 위

Answer 2

http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0195에 따르면 0.9.8h는 취약한 버전입니다. 나는 아마도 내 코드 내포 기술보다 조언을 더 많이 믿을 것이다.