Heartbleed - Hintergrundfrage

[Suxxess]

Ich habe meinen V-Server bereits geupdated mit der Version OpenSSL 1.0.1g .
Dies sollte jeder zeitnah tun siehe diesem Artikel: http://www.faz.net/aktuell/wirtscha...hrieb-fehlerhaften-softwarecode-12890470.html

Jetzt frage ich mich warum ich mit apt-get update und apt-get upgrade nicht automatisch die aktuelle Version bekommen habe wenn die Sicherheitslücke doch so kritisch war? Eine Alternative wäre, dass ich diese bekommen habe, aber ich hätte den Dienst gleich neustarten müssen damit die neue Version auch gestartet wäre. ( Oder halt gleich den Server...auch wenn man das nicht tut )

Wie sieht es bei euch aus, noch betroffen?
Testseite: http://filippo.io/Heartbleed/

 

[Yuuri]

Gute Frage. Auf Debian Testing hier lokal hab ich den Patch auch erst zwei Tage nachher erhalten. In stable war das Update aber bereits verfügbar.

 

[Rome1981]

Ich würde mich nicht auf die Versionsbezeichnung verlassen, wenn du zB einen Ubuntu Server LTS hast, ist es die "1.0.1-4ubuntu5.12" und die wird normal und als kritisches Update über aptitude geliefert.
Übrigens ist in jedem Fall ein Neustart des gesamten Servers notwendig, es sei denn du weißt auswendig, welche Prozesse auf dem Server alle auf OpenSSL zugreifen und ggfs die Bibliotheken cachen...
Nach einem Neustart bekommst du dann auch die neue Version angezeigt.

 

[Suxxess]

Das war ja als erstes mein Denkfehler. Ich hatte etwas beim Updaten von openssl gesehen, war dann allerdings total enttäuscht, dass mir der Kontrollbefehl noch eine Version von 2012 angezeigt hat. Folglich Holzhammermethode und Openssl selbst kompiliert. ( Hätte ich mir vermutlich sparen können, aber egal doppelt hält besser )

 

[Daaron]

Changelog lesen ist immer noch die beste Lösung.
http://manpages.ubuntu.com/manpages/hardy/man1/apt-listchanges.1.html <- Das Werkzeug zum Problem

Und was das Neustarten der ganzen Maschine angeht... Die Anzahl verwundbarer Dienste kann man eigentlich an einer Hand abzählen bzw. erzählt Debian 7 einem sogar beim Einspielen des Updates, was man neu starten soll (und tut es so oder so selbst).
BIND9, HTTP, FTP, Mail-Komponenten, SSH. Das ist, was definitiv n Neustart erfordert. Bei Datenbanken hab ich z.B. noch nie davon gehört, dass da TLS im Einsatz ist.

 

[0711]

Bei Datenbanken hab ich z.B. noch nie davon gehört, dass da TLS im Einsatz ist.

https://dev.mysql.com/doc/refman/5.1/en/ssl-connections.html

 

[Daaron]

Hm. Wär auch irgendwie irritierend, wenn Replikation unverschlüsselt laufen würde.