Il mio amministratore della sicurezza è preoccupato che la mia versione OpenSSL non contenga una patch per DROWN ( cve-2016-0800 ).
Ho eseguito un aggiornamento yum e ho installato l'ultimo CentOS 7 OpenSSL: openssl-1.0.1e-51.el7_2.5.x86_64
Quando controllo il log delle modifiche con rpm -q --changelog openssl-libs | grep 2016 , ho delle correzioni per il CVE recenti ma non per il 2016-0800. Il CentOS 7 OpenSSL ufficiale è davvero ancora vulnerabile? In caso contrario, come posso provare che la mia installazione è valida?
È possibile che l'RPM che ho ricevuto sia errato? In tal caso, come posso ottenere il checksum e dove posso verificarlo rispetto a una versione rpm?
Mi rendo conto che ci sono test specifici per DROWN ma questo è un esempio tra molti altri CVE mancanti e non devo essere preso alla leggera per testarli singolarmente.