CVE-2014-0195是屬於「DTLS無效片斷漏洞」，可能讓駭客得以遠端執行任意程式碼，因此被SANS列為重大漏洞。但這次公布的六個漏洞最受關注的是CVE-2014-0224，這項已存在超過15年的「SSL/TLS中間人攻擊漏洞」，可能讓駭客得以用來破解SSL及TLS流量，甚至修改其中內容。

OpenSSL基金會發佈安全公告，修補6項安全漏洞，其中兩項SANS網路安全中心列為重大漏洞，一項可能導致遠端執行任意程式，另一項則可能讓駭客透過中間人攻擊（man-in-the-middle, MITM）竊聽SSL加密連線內容，該漏洞並已存在超過15年。

CVE-2014-0195是屬於「DTLS無效片斷漏洞」（DTLS invalid fragment），可能讓駭客得以傳送無效的DTLS片段到OpenSSL DTLS用戶端及伺服器，藉此發動緩衝溢位(buffer over)攻擊，並由遠端執行任意程式碼，因此被SANS列為重大漏洞。

但這次公布的六個漏洞中最引人注目的是由日本安全研究人員Masashi Kikuchi所通報的 CVE-2014-0224，這項「SSL/TLS中間人攻擊漏洞」（SSL/TLS MITM）可能導致OpenSSL在終端及伺服器進行TLS handshake時不當接受ChangeCiperSpec (CCS)，使駭客得以用來破解SSL及TLS流量，甚至修改其中內容，因此安全研究人員也稱它為「CCS注入漏洞」。

Google安全研究人員Adam Langley 說明CVE-2014-0224指出，OpenSSL網站上最舊的程式碼是1998年12月28日的0.9.1c ，而受影響的程式碼幾乎都沒變更過，因此這個臭蟲可能已經存在超過15年。

不過在一些因緣巧合之下，除了伺服器端及用戶端都要同時存在漏洞之外，只有伺服器上的OpenSSL是1.01版之後才會受到中間人攻擊。Adam Langley分析整個攻擊模式指出，整個機制相當複雜，但主因在於當初他修補了1.01版的漏洞時修改了Finished值的計算方式。但他也表示，不曉得駭客還會找出一些如何利用該漏洞的創意方式。

好消息是，這些攻擊除了需要找到中間人模式的位置，而且不具有OpenSSL的用戶端都不會受到影響，例如桌面版及iOS版的IE、Firefox、Chrome，以及Safari等瀏覽器。

這項漏洞已經透過更新修補。OpenSSL基金會建議不管是伺服器端或是使用者端的使用者，都應將OpenSSL 0.9.8 SSL/TLS升級到0.9.8za， OpenSSL 1.0.0 SSL/TLS升級到 1.0.0m，而OpenSSL 1.0.1 SSL/TLS則應升級至1.0.1h。這些更新也同時修補了OpenSSL函式庫中三項可能導致DLS 連線DoS攻擊及遠端執行程式碼的漏洞。

OpenSSL安全公告指出，只有在用戶端及伺服器端同時都安裝有瑕疵的軟體時才會發生上述攻擊。這項漏洞影響所有OpenSSL用戶端，以及安裝OpenSSL 1.0.1及1.0.20 beta1版的伺服器。OpenSSL 1.0.1.釋出時間為2012年3月。但安全人員建議OpenSSL1.0.1之前版本用戶最好也升級到最新版本。（編譯/林妍溱）