質問: heartbleed:opensslのバージョンを確実かつ移植性のある方法で確認する方法 私は、gnu/linuxやその他のシステムでopensslのバージョンを確認するための信頼できる移植可能な方法を探していたので、heartbleedバグのためにユーザーがsslをアップグレードする必要があるかどうかを簡単に見つけることができます。簡単だと思いましたが、ubuntu 12.04 ltsの最新のopenssl 1.0.1gですぐに問題が発生しました。opensslバージョン-aフルバージョンが表示されると思っていましたが、代わりに次のようになりました。openssl 1.0.1 2012年3月14日 ビルド:tue jun 4 07:26:06 utc 2013 プラットフォーム:[...]不愉快なことに、バージョンレターが表示されません。 fもgもありません。「1.0.1」だけです。リストされた日付は、(非)脆弱性のあるバージョンの発見にも役立ちません。1.0.1(a-f)と1.0.1gの違いは非常に重要です。質問: バージョンを確認する信頼できる方法は何ですか?できればクロスディストリビューション? そもそもバージョン文字が表示されないのはなぜですか? ubuntu 12.04 lts以外ではテストできませんでした。 他の人もこの動作を報告しています。いくつかの例: https://twitter.com/orblivion/status/45332303495522304 https://twitter.com/axiomsofchoice/status/453309436816535554 一部の(ディストリビューション固有の)提案は次のとおりです。 ubuntuとdebian:apt-cache policy opensslおよびapt-cache policy libssl1.0.0。ここでバージョン番号をパッケージと比較します: http://www.ubuntu.com/usn/usn-2165-1/ fedora 20:yum info openssl(twitterの@znmebに感謝)およびyum info openssl-libs 古いバージョンのopensslがまだ常駐しているかどうかの確認: 完全に信頼できるわけではありませんが、lsof -n | grep ssl | grep delを試すことができます。これが機能しない理由については、 heartbleed:opensslバージョンを確実かつ移植性のある方法で確認する方法 を参照してください。 ubuntuとdebianでopensslパッケージを更新するだけでは必ずしも十分ではないことがわかりました。また、libssl1.0.0パッケージを更新し、openssl version -aがbuilt on: mon apr 7 20:33:29 utc 2014を示しているかどうかを確認してください。
回答: 最新のopenssl openssl 1.0.1jにアップグレードすることをお勧めします。 http://blog.vincosolution.com/2014/10/upgrade-openssl-1-0-1j-debianubuntu.html