Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 18 replies
  • Subscribers 2 subscribers
  • Views 6310 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Version 9.209 has been released!

BrucekConvergent
See here:

UTM Up2Date 9.209 Released | Sophos Blog


This thread was automatically locked due to age.
Parents
  • 0
    I think its not a problem, but to be sure i wanted to ask:
    We use the Server Load Balancing function in Network Security with HTTPS and Servers behind them which still support SSLv3 (but they are using IP-Whitelisting). It is/should not be a problem to update with removed SSLv3 support in the Firewall, right?
  • 0 in reply to guawhitehawk
    I think its not a problem, but to be sure i wanted to ask:
    We use the Server Load Balancing function in Network Security with HTTPS and Servers behind them which still support SSLv3 (but they are using IP-Whitelisting). It is/should not be a problem to update with removed SSLv3 support in the Firewall, right?


    I don't think it's a problem as long as your servers support TLS 1.x
  • 0 in reply to BrucekConvergent
    SSLv3 still enabled in SMTP-TLS?!
  • 0 in reply to ddcool
    SSLv3 still enabled in SMTP-TLS?!


    Yes, after updating to Version 9.209-8, SSLv3 is still available in SMTP-TLS and SMTPS

    I tested with

    openssl s_client -starttls smtp -ssl3 -connect myhost.com:25

    openssl s_client -ssl3 -connect myhost.com:465


    For my understaning, the update package does not fix the vulnerability on SMTP Proxy.
    The description from 9.209-8 also states, that on many (not all!!) services SSLv3 will be disabled.

    Up2Date 9.209008 package description:

    Remark:
     System will be rebooted

    News:
     Security Release
     Disable SSLv3 support in many services to remove vulnerability to SSLv3 protocol vulnerability ("POODLE", CVE-2014-3566)
Reply
  • 0 in reply to ddcool
    SSLv3 still enabled in SMTP-TLS?!


    Yes, after updating to Version 9.209-8, SSLv3 is still available in SMTP-TLS and SMTPS

    I tested with

    openssl s_client -starttls smtp -ssl3 -connect myhost.com:25

    openssl s_client -ssl3 -connect myhost.com:465


    For my understaning, the update package does not fix the vulnerability on SMTP Proxy.
    The description from 9.209-8 also states, that on many (not all!!) services SSLv3 will be disabled.

    Up2Date 9.209008 package description:

    Remark:
     System will be rebooted

    News:
     Security Release
     Disable SSLv3 support in many services to remove vulnerability to SSLv3 protocol vulnerability ("POODLE", CVE-2014-3566)
Children
No Data