Eu tenho um servidor Ubuntu 12.04. Eu atualizei o OpenSSLpacote para corrigir a vulnerabilidade heartbleed. Mas ainda estou vulnerável, apesar de ter reiniciado o servidor web e até mesmo o servidor inteiro.

Para verificar minha vulnerabilidade, usei:

• http://www.exploit-db.com/exploits/32745/
• http://filippo.io/Heartbleed

O dpkg fornece:

dpkg -l |grep openssl
ii  openssl  1.0.1-4ubuntu5.12   Secure Socket Layer (SSL) binary and related cryptographic tools

(launchpad.net/ubuntu/+source/openssl/1.0.1-4ubuntu5.12)

Verifique se o libssl1.0.0pacote também foi atualizado (esse pacote contém a biblioteca real, o opensslpacote contém as ferramentas) e se todos os serviços que usam a biblioteca foram reiniciados após a atualização.

Você precisa reiniciar todos os serviços usando o openssl (reinicialização do apache de serviço).

É possível que você seja um caso de falso positivo, de acordo com a FAQ :

Estou recebendo falsos positivos (vermelho)!

Tenha cuidado, a menos que você tenha danificado o site pressionando o botão, não há como eu pensar que um vermelho não é um vermelho.

Verifique o despejo de memória, se estiver lá, a ferramenta o obteve de algum lugar.

Digamos que tenho 99% de certeza de que você deve ter uma aparência melhor se reiniciar todos os processos após a atualização correta.

Atualização: ainda assim, estou recebendo relatórios consistentes de versões não afetadas ficando vermelhas. Por favor, venha comentar o problema se você for afetado. Estou procurando por três coisas: despejos de memória (para descobrir de onde eles vieram), registros de data e hora (o mais preciso possível, tente com a guia Rede), uma descrição completa do que você clicou e digitou.

Você pode testar seu site usando outra ferramenta como o SSLLabs e verificar se ainda é relatado como vulnerável.
Você também deve relatar o problema com o http://filippo.io/Heartbleed tester, conforme descrito acima.

Se você estiver executando o mod_spdy, atualize sua instalação do mod_spdy. Consulte https://groups.google.com/forum/#!topic/mod-spdy-discuss/EwCowyS1KTU para obter detalhes. Você precisará atualizar o deb mod_spdy ou remover completamente a versão anterior.

Você provavelmente tem um programa escutando 443 que possui uma biblioteca openssl estática. Isso significa que o programa possui seu próprio openssl incluído - atualize também este programa! Se não estiver disponível, notifique o fornecedor imediatamente e suspenda esse aplicativo, se possível!

É possível que você esteja enfrentando o erro listado na página de Perguntas frequentes . Parece que, em determinadas circunstâncias, você pode receber uma notificação vulnerável, mesmo em um sistema corrigido.

Estou recebendo falsos positivos (vermelho)!

Tenha cuidado, a menos que você tenha danificado o site pressionando o botão, não há como eu pensar que um vermelho não é um vermelho. Verifique o despejo de memória, se estiver lá, a ferramenta o obteve de algum lugar. Digamos que tenho 99% de certeza de que você deve ter uma aparência melhor se reiniciar todos os processos após a atualização correta.

Atualização: ainda assim, estou recebendo relatórios consistentes de versões não afetadas ficando vermelhas. Por favor, venha comentar o problema se você for afetado. Estou procurando por três coisas: despejos de memória (para descobrir de onde eles vieram), registros de data e hora (o mais preciso possível, tente com a guia Rede), uma descrição completa do que você clicou e digitou.

Sugiro testar com um teste alternativo, como o Qualys, para confirmar que seu sistema não está mais vulnerável. Se não for para o Github e denuncie.

Ainda está quebrado

O que é? O "servidor" de que você fala pode ter uma biblioteca OpenSSl estática vinculada. Isso significa que, embora você tenha atualizado seu sistema, seu aplicativo ainda está em risco! Você precisa conversar com o fornecedor do software imediatamente para obter um patch ou desativar o serviço até que o faça.

Eu realmente tenho que desativar o serviço até que o patch seja lançado?

Sim, a execução de um serviço vulnerável é extremamente perigosa ao ponto de possível negligência! Você pode estar vazando todos os dados que o servidor descriptografa do transporte e nem mesmo sabe disso!

Verifique se o seu nginx usa a biblioteca do sistema: http://nginx.com/blog/nginx-and-the-heartbleed-vulnerability/

Isso é muito possível se o aplicativo em execução no 443 usar uma biblioteca estática para o OpenSSL. Se for esse o caso, você precisará atualizar o aplicativo para não ficar mais vulnerável.

Finalmente, consegui corrigir meu problema semelhante ao OP. Meu servidor é uma pilha LAMP da Bitnami. Seguindo estas instruções:

wget http://downloads.bitnami.com/files/download/opensslfixer/bitnami-opensslfixer-1.0.1g-     1-linux-x64-installer.run
chmod 755 bitnami-opensslfixer-1.0.1g-1-linux-x64-installer.run
./bitnami-opensslfixer-1.0.1g-1-linux-x64-installer.run --forcefix 1 --forcelegacy 1

http://community.bitnami.com/t/apache-error-after-the-recommended-heartbleed-patch/23530/9