什么是 CVE-2015-1793？对我有影响吗？

Question

显然在 OpenSSL 中发现了一个新错误，它被称为替代链证书伪造 (CVE-2015-1793)。

Canonical 已经声明其版本openssl不受当前支持的版本影响。

我使用的版本1.0.1f-1ubuntu2.8的openssl（可与发现apt-cache policy openssl的）14.04，但accoding到典型的未受影响版本14.04的1.0.1f-1ubuntu2.15。但是存储库中没有这样的版本（为什么还没有？）。

我的问题是：

• 这是否意味着我容易受到 CVE-2015-1793 的攻击？

• 显然 CVE-2015-1793 究竟是什么？它对我有什么影响？

Answer 1

请注意：

这个最新漏洞 (CVE-2015-1793) 是在 OpenSSL 包（由 OpenSSL.org 维护）的最新更新中引入的。

OpenSSL 最新公告：https : //www.openssl.org/news/secadv_20150709.txt

这应该不会影响标准的Ubuntu 安装。

来自：ComputerWorld >> OpenSSL 修复严重缺陷（2015 年 7 月 9 日）

“ .. 随某些 Linux 发行版（包括 Red Hat、Debian 和 Ubuntu）一起分发的 OpenSSL 软件包不受影响。这是因为 Linux 发行版通常会将安全修复程序向后移植到它们的软件包中，而不是将它们完全更新到新版本。 ”。

注意： 如果您直接从 OpenSSL.org 使用 OpenSSL 包（或源），您可能仍会受到影响。