Em 14 de outubro de 2014, uma vulnerabilidade na versão 3 do protocolo de criptografia SSL foi divulgada. A vulnerabilidade, apelidada de POODLE (Padding Oracle On Downgraded Legacy Encryption), permite que um invasor leia informações criptografadas com esta versão do protocolo em texto puro, usando um ataque man-in-the-middle.

A vulnerabilidade POODLE, afeta quaisquer serviços ou clientes que tornam possível a comunicação usando o SSLv3.

Maiores informações podem ser vistas em CVE-2014-3566:

• NVD - Detail

Como mitigar isso nos servidores Web/Linux?

Apache

No Ubuntu, basta alterar o arquivo abaixo:

sudo vi /etc/apache2/mods-available/ssl.conf

No CentOS, o caminho é um pouco diferente, conforme pode ser visto abaixo:

sudo vi /etc/httpd/conf.d/ssl.conf

Agora procure pela diretiva SSLProtocol, caso não exista, crie.


Salve a modificação e reinicie o serviço do Apache.

No Ubuntu:

sudo service apache2 restart

No CentOS:

sudo service httpd restart

nginx

No Ubuntu e CentOS, basta alterar o arquivo abaixo:

sudo vi /etc/nginx/nginx.conf

Agora procure pela diretiva ssl_protocols, caso não exista, crie.


Salve a modificação e reinicie o serviço do nginx:

sudo service nginx restart

P.S.: estas alterações devem ser feitas apenas se o SSL está habilitado em seu WEB Server.


See you in the next vulnerability! :P