Je viens de mettre à jour la bibliothèque openssl sur mon serveur Ubuntu 12.04 pour corriger le bug heartbleed. Voici le résultat que j'obtiens avec la commande "openssl version -a" :
OpenSSL 1.0.0g 18 Jan 2012
built on: Fri Apr 11 09:20:16 UTC 2014
platform: linux-x86_64
options: bn(64,64) rc4(8x,int) des(idx,cisc,16,int) idea(int) blowfish(idx)
compiler: gcc -DOPENSSL_THREADS -D_REENTRANT -DDSO_DLFCN -DHAVE_DLFCN_H -Wa,-- noexecstack -m64 -DL_ENDIAN -DTERMIO -O3 -Wall -DMD32_REG_T=int -DOPENSSL_IA32_SSE2 -DOPENSSL_BN_ASM_MONT -DSHA1_ASM -DSHA256_ASM -DSHA512_ASM -DMD5_ASM -DAES_ASM -DWHIRLPOOL_ASM
OPENSSLDIR: "/usr/local/ssl"D'après ce que je comprends, la date "built on" doit être postérieure au 07 avr, 2014, ce qui semble être le cas ici. J'ai redémarré Apache après avoir effectué ces modifications, mais je vois toujours que mon site Web est vulnérable au bogue Heartbleed.
Est-ce que je rate quelque chose ici ?
J'ai mis à jour la bibliothèque ssl en téléchargeant le dernier code source et en le compilant/installant.
[Mise à jour] Après les commentaires de Stephan ci-dessous, j'ai directement mis à jour l'openssl en utilisant apt-get. J'ai également mis à jour mon PATH pour pointer vers la librairie openssl nouvellement mise à jour.
Voici ce que je vois lorsque je fais "openssl version -a".
OpenSSL 1.0.1 14 Mar 2012
built on: Mon Apr 7 20:33:29 UTC 2014
platform: debian-amd64
options: bn(64,64) rc4(8x,int) des(idx,cisc,16,int) blowfish(idx)
compiler: cc -fPIC -DOPENSSL_PIC -DZLIB -DOPENSSL_THREADS -D_REENTRANT -DDSO_DLFCN -DHAVE_DLFCN_H -m64 -DL_ENDIAN -DTERMIO -g -O2 -fstack-protector --param=ssp-buffer-size=4 -Wformat -Wformat-security -Werror=format-security -D_FORTIFY_SOURCE=2 -Wl,-Bsymbolic-functions -Wl,-z,relro -Wa,--noexecstack -Wall -DOPENSSL_NO_TLS1_2_CLIENT -DOPENSSL_MAX_TLS1_2_CIPHER_LENGTH=50 -DMD32_REG_T=int -DOPENSSL_IA32_SSE2 -DOPENSSL_BN_ASM_MONT -DOPENSSL_BN_ASM_MONT5 -DOPENSSL_BN_ASM_GF2m -DSHA1_ASM -DSHA256_ASM -DSHA512_ASM -DMD5_ASM -DAES_ASM -DVPAES_ASM -DBSAES_ASM -DWHIRLPOOL_ASM -DGHASH_ASM
OPENSSLDIR: "/usr/lib/ssl"Comme indiqué dans "built on", la librairie a été mise à jour avec le dernier patch du 7 avril. Cependant, mon site Web est toujours vulnérable à Heartbleed.
Merci de m'aider !
