CVE-2014-3566対応

POODLEアタックとは

暗号化された通信内のCookie情報などが、plaintextとして参照される恐れがあります。

CVE-2014-3566についてREDHATや各種メディアから発表がありましたが、簡単に対応策を記載しておきます。

まずはチェックツール

BASHでかいて実行してください。

#!/bin/bash
ret=$(echo Q | timeout 5 openssl s_client -connect "${1-`hostname`}:${2-443}" -ssl3 2> /dev/null)
if echo "${ret}" | grep -q 'Protocol.*SSLv3'; then
  if echo "${ret}" | grep -q 'Cipher.*0000'; then
    echo "SSL 3.0 disabled"
  else
    echo "SSL 3.0 enabled"
 fi
else
  echo "SSL disabled or other error"
fi

SSL 3.0 enabledとでてくれば４４３でSSL3が有効になっているため脆弱性の影響を受けます。

対応策

SSL3.0を無効にする

Apache HTTPDサーバ

httpd.confに以下のように記載してサービスリスタートしてください。他のパッケージも同様にコンフィグに記載してリスタートします。

SSLProtocol All -SSLv2 -SSLv3

Nginxサーバ

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

Postfixサーバ

smtpd_tls_mandatory_protocols=!SSLv2,!SSLv3