En concreto, las nuevas versiones resuelven los siguientes problemas:

Un posible ataque de tipo Man-in-the-Middle podría ser provocado por un atacante que forzase el uso de claves débiles a través de negociaciones manipuladas. Esta vulnerabilidad ha recibido el identificador CVE-2014-0224.

Un problema de denegación de servicio, debido a un handshake DTLS inválido, que podría afectar a clientes DTLS. Se ha asignado el identificador CVE-2014-0221 a esta vulnerabilidad.

Un atacante podría ejecutar código arbitrario, tanto en servidores como clientes, mediante el envío de un fragmento DTLS inválido que provoque un buffer overrun. Esta vulnerabilidad tiene el identificador CVE-2014-0195.

Un problema de denegación de servicio, provocado por un fallo en la función do_ssl3_write, que podría ser explotado por un atacante por medio de una referencia a un puntero a NULL. Esta vulnerabilidad ha recibido el identificador CVE-2014-0198.

Podría provocarse la inyección de datos entre sesiones, o una denegación de servicio forzando una condición de carrera por medio de la función ssl3_read_bytes. Esta vulnerabilidad tiene asignado el identificador CVE-2010-5298.

Clientes TLS con suites de cifrado con ECDH anónimo podrían ser víctimas de una denegación de servicio. Esta vulnerabilidad ha recibido el identificador CVE-2014-3470.

El ataque descrito en "Recovering OpenSSL ECDSA Nonces Using the FLUSH+RELOAD Cache Side-channel Attack", que ha recibido el identificador CVE-2014-0076.

Se debe actualizar a la última versión de la rama correspondiente. En concreto, deben actualizarse:

• Las versiones 0.9.8 anteriores a la 0.9.8za.
• Las versiones 1.0.0 anteriores a la 1.0.0m.
• Las versiones 1.0.1 anteriores a la 1.0.1h.