Timeline for patching SSL vulnerability (Heartbleed Bug)

I usually only lurk on this forum, but let me add my 2 cents here.

I totally agree with barkas.  First and foremost, there should have been official communication from Sophos to partners.  As far as we know today, the impact from the cleanup of this issue, after patching the vulnerability itself, is going to be huge globally (i.e. I am not talking about Sophos specifically right now).  Like never-ever-ever seen huge.  Just imagine all the private keys that need to be regenerated and then all the certificates that need to be signed by the public CAs like Verisign.  Are they going to do it free?  Somehow I don't think so...  But even if they do, just think of the logistical nightmare of doing this for everybody in a short amount of time.

Also, there definitely should be a hotfix available that have been baseline-tested (i.e. seems to work [:)] ) that partners can apply using their own judgement.  For example, take a customer of ours, a few thousand users all around the country, with web applications publically available through UTM's Web Protection.  These web applications need to be 24x7 accessible for truly important work.  So what are our choices right now?

• Tell the customer to turn off access to their web applications and wait an unspecified amount of time until Sophos releases something, which still needs to be tested on the customer's site, of course.  Clearly unacceptable, they must work 24x7.
  
• Tell the customer to disable Webserver Protection and NAT the traffic to their applications.  Also clearly unacceptable, can make matters worse because of vulnerable applications and/or webservers.
  
• Do nothing and possibly expose even more sensitive information.  This is the only choice remaining.  Should not be too happy about it...
  

Actually, I am about to grab the fixed openssl package from SLES and test if that works with UTM (my guess is that it would).

It appears a patch is out (I am in the process of testing it now) ... 9.111007 -- saw a customer UTM pull it down a few minutes ago.  Includes the Heartbleed fix.

I'm assuming that 9.109 users will be seeing a 9.110 update as well (there is one on the FTP site), so I'm thinking both will need to be installed  -- but don't "quote me" on that just yet.

Nothing yet for 9.200-11.

-Jim

It appears a patch is out (I am in the process of testing it now) ... 9.111007 -- saw a customer UTM pull it down a few minutes ago.  Includes the Heartbleed fix.

I'm assuming that 9.109 users will be seeing a 9.110 update as well (there is one on the FTP site), so I'm thinking both will need to be installed  -- but don't "quote me" on that just yet.

Cool, I just tried, right now we have a soft-released 9.110 and a hard(?)-released 9.111. [:@] The UTM's download 9.111 and don't download 9.110.  That was really worth two days of testing...

Also there is no fix for 9.200 available yet.

And there simply has to be some kind of detailed announcement from Sophos.  Why install immediately, what to do after installation.  The difficult part comes after installing the fix!!!

Cool, I just tried, right now we have a soft-released 9.110 and a hard(?)-released 9.111. [:@] The UTM's download 9.111 and don't download 9.110.  That was really worth two days of testing...

Also there is no fix for 9.200 available yet.

And there simply has to be some kind of detailed announcement from Sophos.  Why install immediately, what to do after installation.  The difficult part comes after installing the fix!!!

I manually downloaded u2d-sys-9.109001-110022.tgz.gpg from the ftp and uploaded to webadmin. After installing this 9.111.7 also installs.

Update: ftp://ftp.astaro.com/UTM/v9/up2date/u2d-sys-9.109001-110022.tgz.gpg

If you choose to update to the latest version, with the UTM having downloaded 9.110 and 9.111, it fails...  error:

2014:04:09-11:21:20 firewall-2 auisys[470]: Unpacking installation instructions
2014:04:09-11:21:20 firewall-2 auisys[470]: >=========================================================================
2014:04:09-11:21:20 firewall-2 auisys[470]: id="371J" severity="error" sys="system" sub="up2date" name="Fatal: Version conflict: required version: 9.110022  current version: 9.109001" status="failed" action="install" package="sys"
2014:04:09-11:21:20 firewall-2 auisys[470]:


Gonna try installing 9.110 manually first, then 9.111 ... this really should work properly though.

If you choose to update to the latest version, with the UTM having downloaded 9.110 and 9.111, it fails...  error:

2014:04:09-11:21:20 firewall-2 auisys[470]: Unpacking installation instructions
2014:04:09-11:21:20 firewall-2 auisys[470]: >=========================================================================
2014:04:09-11:21:20 firewall-2 auisys[470]: id="371J" severity="error" sys="system" sub="up2date" name="Fatal: Version conflict: required version: 9.110022  current version: 9.109001" status="failed" action="install" package="sys"
2014:04:09-11:21:20 firewall-2 auisys[470]:


Gonna try installing 9.110 manually first, then 9.111 ... this really should work properly though.