OpenSSL 公布高危漏洞，建議更新

ocsp狀态請求延期導緻無限的記憶體增長(cve-2016-6304)

嚴重級别：高等

惡意的用戶端會發送一個過大的ocsp狀态請求延期。如果這個用戶端不斷請求重新協商，每次發送大量ocsp狀态請求延期，這會使伺服器的記憶體無限消耗。這最終會因為記憶體被耗盡而導緻dos攻擊。使用預設配置的伺服器是容易遭受攻擊的，即使他們不支援oscp。通過使用“無ocsp”配置時間選項不會受影響。

伺服器使用openssl 1.0.1g之前的版本并使用預設配置不會易遭受攻擊，除非一個應用程式明确允許支援ocsp，建議

openssl 1.1.0使用者更新到1.1.0a，openssl 1.0.2使用者更新到1.0.2i，openssl 1.0.1使用者更新到1.0.1u

這個問題于2016/08/29由shi lei(gear team,qihoo 360 inc)報告，由openssl開發團隊的matt caswell修複

ssl_peek()挂斷空記錄(cve-2016-6305)

嚴重級别：中等

openssl 1.1.0 ssl/tls 會在發送一個會話給ssl_peek()的期間且發送一個空記錄時挂起。這可能會被惡意的同行通過dos攻擊利用。建議使用openssl 1.1.0的使用者更新到 1.1.0a

這個問題于2016/09/10由alex gaynor報告，由openssl開發團隊的matt caswell修複

openssl還公布很多嚴重程度為低等的漏洞，具體資訊請通路原網站檢視。

此外openssl項目組再次提醒使用者，1.0.1版本分支的更新檔支援将在12月31日結束。

截止到現在，openssl項目組在今年一共釋出了三次的安全更新，累計修複了16個安全漏洞。