据市网络与信息安全应急管理事务中心预警，6月5日晚，OpenSSL发布了用于修复七处高危漏洞的安全补丁，其中编号为CVE-2014-0224的漏洞已潜伏16年，该漏洞可导致“中间人”截获OpenSSL加密的网站登录密码、电子邮件、聊天记录等重要数据。由于目前没有公开的漏洞攻击代码，而且OpenSSL已及时发布补丁，这波漏洞的实际威胁会低于“心脏出血”。
OpenSSL官网公告显示，本次OpenSSL团队发布的5个安全补丁主要修复CVE-2014-0224、CVE-2014-0221、CVE-2014-0195、CVE-2010-5298、CVE-2014-0198、CVE-2014-3470、CVE-2014-0076等七个漏洞，涉及多个OpenSSL版本。
其中，编号为CVE-2014-0195的OpenSSL漏洞可导致黑客远程执行任意代码，危害较大；编号为CVE-2014-0224漏洞则是潜伏16年的“中间人”漏洞。利用该漏洞，黑客可通过OpenSSL加密的流量发动“中间人”解密，直接窃听流量中的内容。不过，只有当服务器和客户端同时存在该漏洞、且正在互相通信时，黑客才可以解密窃听流量中的内容。
据悉，OpenSSL是开源的，这意味着任何人都可以对其进行评估及更新。由于这一原因，OpenSSL被认为比某家公司开发的私有代码更安全、更可信。但实际上，OpenSSL在欧洲只有1名全职开发者，以及3名“核心”的志愿程序员，其运营依靠每年2000美元的捐赠。不过，OpenSSL仍被用于加密全球大部分网站的服务器，并被亚马逊和思科等大公司广泛使用。在“心脏流血”漏洞被发现之后，包括亚马逊、思科、戴尔、Facebook、富士通、谷歌、IBM、英特尔、微软、NetApp、Rackspace、高通和VMware在内的公司都承诺在未来3年内每年投入10万美元，用于Core Infrastructure Initiative项目。这一新的开源项目由Linux基金会牵头，用于支撑OpenSSL等关键的开源基础设施。
为了消除安全隐患，提醒各大网站尽快升级相关OpenSSL版本。因为随着补丁的发布，黑客攻击者会研究补丁制作漏洞攻击工具，那些没有及时打补丁的网站将面临风险。
附：OpenSSL最新漏洞和修复信息
CVE-2014-0224：中间人欺骗(MITM)漏洞，影响客户端(全版本)和服务端(1.0.1 and 1.0.2-beta1)。
建议：OpenSSL 0.9.8 SSL/TLS users (client and/or server) 请更新到 0.9.8za；OpenSSL 1.0.0 SSL/TLS users (client and/or server) 请更新到 1.0.0m；OpenSSL 1.0.1 SSL/TLS users (client and/or server) 请更新到 1.0.1h。
CVE-2014-0221：拒绝服务漏洞，攻击者可通过发送一个恶意的DTLS握手包，导致拒绝服务。
建议：OpenSSL 0.9.8 DTLS用户请更新到0.9.8za；OpenSSL 1.0.0 DTLS用户请更新到1.0.0m；
OpenSSL 1.0.1 DTLS用户请更新到1.0.1h。
CVE-2014-0195：任意代码执行漏洞，攻击者可发送一个恶意的DTLS fragmetns到OpenSSL DTLS客户端或服务端，将能够在存在漏洞的客户端或服务端引起任意代码执行。
建议：OpenSSL 0.9.8 DTLS 用户请更新到 0.9.8za；OpenSSL 1.0.0 DTLS 用户请更新到 1.0.0m；OpenSSL 1.0.1 DTLS 用户请更新到 1.0.1h。
CVE-2014-0198：拒绝服务漏洞，do_ssl3_write()函数允许远程用户通过一个空指针引用，这个漏洞仅仅影响OpenSSL 1.0.0和1.0.1当SSL_MODE_RELEASE_BUFFERS开启的环境(非默认选项)。
建议：OpenSSL 1.0.0 用户请更新到 1.0.0m；OpenSSL 1.0.1 用户请更新到 1.0.1h。
CVE-2010-5298：会话注入&拒绝服务漏洞，攻击者利用ssl3_read_bytes 函数的竞争机制可以在会话之间注入数据或者使服务端拒绝服务。
此漏洞仅影响使用OpenSSL1.0.0多线程应用程序和1.0.1，其中SSL_MODE_RELEASE_BUFFERS被启用(不常见，并非默认设置)。
CVE-2014-3470：拒绝服务漏洞，当OpenSSL TLS客户端启用匿名ECDH密码套件可能导致拒绝服务攻击。
建议：OpenSSL 0.9.8 用户请更新到 0.9.8za；OpenSSL 1.0.0 用户请更新到 1.0.0m；OpenSSL 1.0.1 用户请更新到 1.0.1h。
CVE-2014-0076：OpenSSL ECDSA 加密问题漏洞，OpenSSL 1.0.0l及之前版本中的Montgomery ladder实现过程中存在安全漏洞，该漏洞源于Elliptic Curve Digital Signature Algorithm (ECDSA)中存在错误。远程攻击者可通过FLUSH+RELOAD Cache旁道攻击利用该漏洞获取ECDSA随机数值。
建议：OpenSSL 1.0.0m、OpenSSL 0.9.8za用户请更新到OpenSSL 1.0.1g。