CVE-2014-0160 OpenSSL Heartbleed 信息泄露漏洞-讯岚社区

漏洞案例已知被利用 · CISA KEV

CVE-2014-0160

OpenSSL Heartbleed 信息泄露漏洞

TLS 和 DTLS 心跳扩展未正确检查长度，远程攻击者可读取进程内存中的敏感数据。

漏洞概览

7.5

高危 · CVSS 3.1评分来源：CISA-ADP / CVE 记录

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

产品或分支	受影响范围	历史修复边界或说明
OpenSSL 1.0.1	1.0.1 至 1.0.1f	1.0.1g 或厂商回移补丁

OpenSSL 的 TLS/DTLS Heartbeat 扩展没有正确校验请求声明的长度与实际数据长度，响应可能越界读取进程内存。泄露发生在进程内存中，可能涉及会话、口令或私钥材料，不是直接读取任意磁盘文件。

应检查服务实际加载的 OpenSSL 库及发行版回移补丁，而不只看命令行 openssl 的输出。是否已经发生敏感信息泄露无法仅凭升级成功或缺少异常日志排除。

泄露内容可能包括会话 Cookie、用户口令、私钥片段和应用数据。仅重启服务不能证明密钥未泄露，实际处置需要同时修复、吊销并重新签发证书。该漏洞已进入 CISA 已知被利用漏洞目录。

比对服务进程加载库、软件包补丁与 TLS 端点清单；更新后核验重启状态、证书指纹及旧会话失效情况，避免只更新磁盘文件却仍运行旧库。

先修复受影响库并重启依赖服务，再按风险评估生成新密钥、重新签发和吊销相关证书，失效会话并轮换可能泄露的凭据。仅重启服务不能撤销已经泄露的密钥。

完成变更后，回读 OpenSSL 的实际运行版本、补丁与配置，确认已落在厂商修复范围；需要重启的服务或系统必须验证重启结果。再检查相关业务功能、访问控制与日志，记录修复前后证据。临时缓解应单独标注，并跟踪正式修复；没有触发异常不等于漏洞不存在。

英文技术描述已整理为中文，保留产品名、协议名和版本号。CVE 记录与 KEV 核验日期：2026-09-18；KEV 目录版本：2026.09.16。厂商公告可能继续更新，处置时应核对最新产品矩阵。

文章版权归原作者所有，内容仅用于合法合规的学习、研究与安全防护，未经允许请勿转载。

THE END