openSSL 1.1.1 安全漏洞 CVE-2020-1971

Question

我刚刚阅读了 CVE-2020-1971 的描述，它表明今天为 openSSL 发布了一个补丁，补丁版本是 1.1.1i——我的 Ubuntu 20.04.1 LTS 版本正在运行 openSSL 版本 1.1.1f。从去年三月开始。

软件更新程序说我的系统是最新的。我希望 Canonical 在明天之前发布这个 openSSL 更新……谁能确认他们正在处理这个问题？

Answer 1

当出现 CVE 问题时，您的第一站应该是https://ubuntu.com/security 上的Ubuntu 的 CVE 跟踪器。

1. 这是我检查时Ubuntu CVE 跟踪器对这个 CVE和这个包的评价：

   

   • 根据https://ubuntu.com/security/CVE-2020-1971，这是CVE以缓解在20.04 openssl 1.1.1f-1ubuntu2.1，这是已经在Ubuntu软件库（焦安兜）。

2. 让我们仔细检查一下openssl 1.1.1f-1ubuntu2.1apt 是否可以下载和安装：

   $ apt-cache madison openssl   // 20.04 system, matching the question
   openssl | 1.1.1f-1ubuntu2          | focal 
   openssl | 1.1.1f-1ubuntu2.1        | focal-security  <----- There it is
   openssl | 1.1.1f-1ubuntu2.1        | focal-updates   <----- And there, too
   

3. 出于好奇，让我们看看该软件包的Launchpad 页面，以确定修补后的 20.04 版本的上传日期（2020 年 12 月 8 日 / 2020 年 12 月 8 日）：

   

4. 使用apt list openssl.

   $ apt list openssl
   Listing... Done
   openssl/focal-updates,focal-security, now 1.1.1f-1ubuntu2.1 amd64 [installed]
   

   • 对于大多数用户来说，无人值守升级已经自动和静默地下载并安装了许多这样的安全升级。在不打扰您的情况下快速推出安全补丁正是它的目的。

背景：有两种方法可以处理安全更新。

1. 更新到包含更改的较新版本。由于大多数用户不知道如何应用补丁，这是一个常见的建议。对于不熟练的用户，这是一种简单且相当安全的方法。这会将您更新到 1.1.1i

2. 将补丁应用到当前版本。由于 Ubuntu 安全团队工程师知道如何应用和测试补丁，这就是 Ubuntu 安全更新的工作原理。Ubuntu 提供了补丁版本，而不是新版本。这会将您从 1.1.1f-1ubuntu2 更新到 1.1.1f-1ubuntu2.1。是的，您的 -v 标志会显示 1.1.1f，这是正确的。但是你仍然被打补丁；vuln 不再影响你。