こんにちは。小宮です。

OpenSSLの重大バグが発見されたという記事をうけまして、
さすがに影響が大きいようなので関連情報を記録しておきます。
OpenSSLの重大バグが発覚。インターネットの大部分に影響の可能性 | TechCrunch Japan
JVNVU#94401838: OpenSSL の heartbeat 拡張に情報漏えいの脆弱性

影響範囲はopenssl-1.0.1~1.0.1fということで、まじめに最新にしてるサイトが影響を受けるという皮肉なことに。
でもまあ影響範囲が限定的なのは良かったと思います。
弊社ではCentOS6.5とAmazonLinuxの環境が影響を受けました。

まず以下をご覧ください。
対策方法を記しているサイト：
AWS – EC2インスタンスのOpenSSLのHartbleed Bug対応 – Qiita
opensslのTLS heartbeat read overrun (CVE-2014-0160)を対処した | Ore no homepage

バージョンの確認方法は

とか

という感じで、
CVE-2014-0160をfixしてるパッチがあたってるかどうかは、以下のように確認しました。

あたってなければ、yum update opensslして
sshd、crond、httpd等のopensslを利用しているサービスを再起動しました。

ちなみに、crondを再起動してなかったら以下のようなエラーがでていました。

以下のように更新後にライブラリのバージョンがきちんと使われているか確認するのが良いらしいです。

できるならOS再起動してもいいかと思います。

以下のサイトで検索すると脆弱かどうか調べられます。
Test your server for Heartbleed (CVE-2014-0160)

既存の証明書やELBつかってるところの対策はこれからになるかと思います。
クロストラストのページには証明書は更新したほうがいいと書かれています。。
SSLサーバ証明書のクロストラスト — OpenSSL 1.0.1に含まれる脆弱性(The Heartbleed Bug)への対応に関するお知らせ

何か新しく情報を得たら追記するようにします。

4/9追記：
以下のページにELBの対策のリンクがあり、「顧客のアクションを必要としない軽減策を行った」と書いてあり、チェックサイトで確かめたところ対応されているようでした。
Heartbleed ~ OpenSSL脆弱性 (CVE-2014-0160) まとめ – Qiita
AWS Services Updated to Address OpenSSL Vulnerability
ただし、証明書の更新も必要なようです。
AWS Solutions Architect ブログ: ELBのSSL証明書更新の方法

証明書や影響を受けるOS等については、こちら「CVE-2014-0160 OpenSSL Heartbleed 脆弱性まとめ – めもおきば」のページにも詳しくかかれていました。
SSL証明書でサーバを公開しているなら、秘密鍵から作り直して証明書を再発行し、過去の証明書を失効させる必要が。秘密鍵を奪取されている場合があるためです。
Twitterのハッシュタグ：#heartbleed です。追ってみるとすごい勢いで呟かれてます。

4/10追記：
CiscoのVPNクライアントソフト(Cisco AnyConnect Secure Mobility Client)大丈夫かな～と思ってみたところ影響うけるのはiOS版だけのようでした。
Cisco Security Advisory: OpenSSL Heartbeat Extension Vulnerability in Multiple Cisco Products

みていただいてありがとうございました。