【发布时间】：2014-04-09 21:35:41
【问题描述】：
GlassFish 3 是否使用 OpenSSL 进行加密？我们的安全人员担心 Heartbleed 漏洞。
【问题讨论】：
标签： glassfish-3 heartbleed-bug
【发布时间】：2014-04-09 21:35:41
【问题描述】：
Glassfish 不使用 OpenSSL，它使用 JSSE。
但是，有时在生产中 GlassFish 会在 Apache 或 Nginx 服务器后面运行，在这种情况下您显然会受到攻击，因为它们使用 OpenSSL。
【讨论】：
-
默认情况下，您的 glassfish/java 安装将使用 SSLSocketFactory 的 Oracle 实现，这不受影响。但值得注意的是，您的 glassfish 或 java 安装可能已配置为使用 OpenSSL 实现，因此如果您想非常确定，请查看the configuration。
应该区分开源版和 Oracle 版。后者对 Heartbleed 漏洞的回答是否定的，但是 Oracle Glassfish 版本确实以某种方式使用了 OpenSSL：
http://www.oracle.com/technetwork/topics/security/opensslheartbleedcve-2014-0160-2188454.html
1.0 Oracle 产品，在使用 OpenSSL 时不受 CVE-2014-0160 约束
...
Oracle GlassFish Server 3.x.x [产品 ID 8493]
...
Sun GlassFish Enterprise Server 2.x [产品 ID 8493]
此产品中的 OpenSSL 版本必须是旧版本。
【讨论】：