freeradius 拒绝启动，因为它说 OpenSSL 易受攻击

Question

我使用 Ubuntu 14.04，但无法启动freeradius守护进程 (freeradius-server-3.0.9)。我有这个我无法解决的错误：

Refusing to start with libssl version OpenSSL 1.0.1f 6 Jan 2014    
0x1000106f (1.0.1f release) (in range 1.0.1 dev - 1.0.1f release)
Security advisory CVE-2014-0160 (Heartbleed)
For more information see http://heartbleed.com
Once you have verified libssl has been correctly patched, set    
security.allow_vulnerable_openssl = 'CVE-2014-0160'

dpkg -l | grep openssl

ii  libgnutls-openssl27:i386                              2.12.23-12ubuntu2.2                                 i386         GNU TLS library - OpenSSL wrapper
ii  openssl                                               1.0.1f-1ubuntu2.15                                  i386         Secure Sockets Layer toolkit - cryptographic utility
ii  python-openssl                                        0.13-2ubuntu6                                       i386         Python 2 wrapper around the OpenSSL library

apt-cache policy freeradius

freeradius:
  Installed: (none)
  Candidate: 2.1.12+dfsg-1.2ubuntu8.1
  Version table:
     2.1.12+dfsg-1.2ubuntu8.1 0
        500 http://us.archive.ubuntu.com/ubuntu/ trusty-updates/main i386 Packages
     2.1.12+dfsg-1.2ubuntu8 0
        500 http://us.archive.ubuntu.com/ubuntu/ trusty/main i386 Packages

apt-cache policy libssl1.0.0:i386

  Installed: (none)
  Candidate: 2.1.12+dfsg-1.2ubuntu8.1
  Version table: 
     2.1.12+dfsg-1.2ubuntu8.1 0 
        500 http://us.archive.ubuntu.com/ubuntu trusty-updates/main i386 Packages
     2.1.12+dfsg-1.2ubuntu8 0
        500 http://us.archive.ubuntu.com/ubuntu trusty/main i386 Packages

Answer 1

什么freeradius是干什么的，显然是由OpenSSL的操作系统上返回的版本字符串纯粹的检测。不幸的是，该版本字符串不考虑 Ubuntu 或 Debian 修订号。

Ubuntu 安全更新通常通过包中的-#ubuntu#样式更改日志条目放入，并且要安装的具有安全更新的包来自RELEASE-security存储库，其中RELEASE是您所使用的 Ubuntu 版本的代号。

因此，我们必须检查特定的 CVE，并检查 Ubuntu 安全团队的 CVE 跟踪器。 Ubuntu 安全团队跟踪器中详细介绍 Heartbleed CVE (CVE-2014-0160) 的页面表明以下版本已应用补丁来修复 OpenSSL Heartbleed 问题：

• 精确：在openssl包包版本中修复1.0.1-4ubuntu5.12
• Trusty：在openssl包包版本中修复1.0.1f-1ubuntu2

如果您已经从安全存储库中提取了所有 OpenSSL 更新，并且至少1.0.1f-1ubuntu2安装了 OpenSSL（并且您提供的信息表明1.0.1f-1ubuntu2.15已安装），您会没事的。

如果上述情况与您的情况相匹配，那么您可以按照错误消息为您提供的说明进行操作，并将这一行放在适当的位置，可能作为配置文件的一部分： security.allow_vulnerable_openssl = 'CVE-2014-0160'