随着Heartbleed OpenSSL漏洞的出现,各企业软件开发团队手忙脚乱地检查自己的软件,以确认有无问题。其结果有好有坏。
Vulture South网站整理了一下近期的全球前10位软件厂商的情况。下面列出各软件厂商的处境。
微软清闲自在,因为Windows、IIS、Microsoft帐户和微软Azure“以及大多数Microsoft服务未受到OpenSSL漏洞的影响” 。“Windows下的SSL / TLS的”亦未受影响。
IBM的产品安全事件响应博客(Product Security Incident Response Blog)称蓝色巨人正“分析旗下的产品,以确定哪些产品受到Heartbleed OpenSSL漏洞的影响”,并建议客户留意安全公告。但IBM端点管理器9.1.1065(IBM Endpoint Manager 9.1.1065)需补救工作。
甲骨文有关四月修补程序包的公告没有提到Heartbleed,但甲骨文网站有贴(https://community.oracle.com/thread/3544777)提过一些甲骨文产品可能有问题。
SAP好像没有说过什么有关Heartbleed漏洞的东西。网上SAP的这个帖(http://scn.sap.com/thread/3535152)里有一个被墙的链接,是有关Business Objects的,Business Objects无Heartbleed相关问题。
再比如,VMware已发现27个产品存在被Heartbleed攻击的潜在危险,包括旗舰产品ESXi 5.5和vCenter Server 5.5。Citrix对自己的九款产品有些担心,包括XenApp应用程序流堆栈(XenApp application streaming stack)的重要组成部分。
赛门铁克4月9日时“……仍在查证旗下的产品是否受到Heartbleed漏洞的影响”。EMC发布了一个有关公告(https://sso.emc.com/sso/login.htm?CTAuthMode=BASIC),但用户及本刊记者都在抱怨不能访问连接内容,好像是与Salesforce.com认证有关的什么东西阻止了访问。有用没用,难说。根据这个贴(https://community.emc.com/message/808380#808380)说,Isilon的产品没有问题。说到Salesforce,Salesforce欣然报告指旗下的产品不受Heartbleed祸害的影响。
惠普表示(http://goo.gl/0MmmTJ)“……TippingPoint NGIPS、SMS和NGFW平台以及威胁管理中心(Threat Management Center ,缩写为TMC)门户网站”无危险,但却很难找到惠普就Heartbleed发表的更全面的文章。
CA的安全响应中心博客(http://blogs.ca.com/securityresponse/)只字不提Heartbleed。
Citrix不在软件供应商前10之列,但也也有麻烦:XenApp堆栈有问题。
很显然,企业供应商的开发团队要大行赶夜车加班之道。如果他们发现任么烦人的东西,我们会第一时间让大家知道。