安恒信息从openssl开源项目官网获知其针对0.98zd、1.0.0p和1.0.1k版本的修复补丁发布了8个安全漏洞的修复方案。其中最严重的漏洞被openssl项目组归类为中等安全威胁，这个漏洞可以用来发动拒绝服务攻击。其余的六个问题被定义为低安全威胁。
前面提到的中等安全威胁的漏洞是通过一个特定的dtls消息导致空指针在解引用时openssl发生的段错误。这个问题影响到所有当前的openssl版本（0.9.8，1.0.0和1.0.1）并且可能导致拒绝服务攻击。第二个中等威胁漏洞会导致内存泄漏，是由dtls1_buffer_record函数在一定条件下被利用导致的。如果攻击者发送重复的dtls记录包并含相同的序列号这个攻击就有可能攻击成功。内存泄漏可以通过拒绝服务攻击使得内存耗尽这样的方式来利用。
这些漏洞影响的openssl版本为1.0.1和1.0.0。尽管这些问题没到达到“心脏出血”漏洞的严重程度，管理人员仍应该开始计划升级他们openssl服务器。
我们仍在研究昨日宣布的这八个问题的影响，最严重的漏洞只会导致拒绝服务攻击，受到影响的服务器会产生段错误并且可能导致崩溃（cve-2014-3571）或者内存耗尽(cve-2015-0206)，因此为了保持可靠的服务，openssl需要升级或使用不受影响的ssl库，如libressl。
其他的漏洞包括openssl服务接受客户端证书没有进行dh证书验证消息、允许客户端验证没有私钥的访问等，这只影响服务器信任的客户端证书权威问题。
另一个漏洞是openssl的客户端在握手时接受使用ecdh加密方式，如果服务器密钥交换消息没有使用ecdsa证书，加密方式将会实效。
安恒信息建议为了保障您的网络信息数据安全，请尽快将您的openssl升级到相应的安全版本：
1.openssldtls1_get_record函数拒绝服务（cve-2014-3571）
openssl的1.0.1 dtls用户应该升级到1.0.1k
openssl的1.0.0 dtls用户应该升级到1.0.0p
openssl的0.9.8 dtls用户应该升级到0.9.8zd
2.openssldtls内存泄漏漏洞（cve-2015-0206）
openssl的1.0.1 dtls用户应该升级到1.0.1k
openssl的1.0.0 dtls用户应该升级到1.0.0p
3.no-ssl3配置集方法空指针（cve-2014-3569）
openssl的1.0.1的用户应该升级到1.0.1k
openssl的1.0.0的用户应该升级到1.0.0p
openssl的0.9.8的用户应该升级到0.9.8zd
4.ecdhe客户端协商降级ecdh （cve-2014-3572）
openssl的1.0.1的用户应该升级到1.0.1k
openssl的1.0.0的用户应该升级到1.0.0p
openssl的0.9.8的用户应该升级到0.9.8zd
5.rsa客户端协商降级export_rsa（cve-2015-0204）
openssl的1.0.1的用户应该升级到1.0.1k
openssl的1.0.0的用户应该升级到1.0.0p
openssl的0.9.8的用户应该升级到0.9.8zd
6.服务器验证客户dh信息不全（cve-2015-0205）
openssl的1.0.1的用户应该升级到1.0.1khttp://hkldz222.51dzw.com/
openssl的1.0.0的用户应该升级到1.0.0p
7.证书指纹可以被修改（cve-2014-8275）
openssl的1.0.1的用户应该升级到1.0.1k
openssl的1.0.0的用户应该升级到1.0.0p
openssl的0.9.8的用户应该升级到0.9.8zd
8.bignum平方可能会产生不正确的结果（cve-2014-3570）
openssl的1.0.1的用户应该升级到1.0.1k
openssl的1.0.0的用户应该升级到1.0.0p
openssl的0.9.8的用户应该升级到0.9.8zd
