微軟針對Vcpkg用戶釋出OpenSSL高風險漏洞修復指引

在11月的第一天，OpenSSL就釋出3.0.7版本，修補兩個具有高風險的漏洞，而熱門的C/C++函式庫管理工具Vcpkg上也已經有修補程式，因此有使用Vcpkg的開發者，當應用程式中包含3.0.0到3.0.6各版本OpenSSL，也可透過Vcpkg進行修補。

OpenSSL這兩個漏洞分別是具有重大風險的CVE-2022-3602漏洞，以及高度風險的CVE-2022-3786漏洞。CVE-2022-3602可能讓攻擊者執行遠端程式攻擊，而CVE-2022-3786雖不會引發遠端程式攻擊，卻足以造成服務阻斷，因此微軟敦促開發者盡快升級。

微軟提醒，即便開發者的專案沒有直接使用OpenSSL，但是OpenSSL仍可能是應用程式相依關係中的一部分，這是因為相依項目可能會遞移相依於OpenSSL，因此Vcpkg就會自動安裝OpenSSL，像是Azure C++ SDK便會遞移相依OpenSSL，因此用戶也應該驗證系統上OpenSSL的版本。

無論Vcpkg使用者是以命令列安裝函式庫，還是Vcpkg.json清單在建置期間安裝相依項目，微軟建議，開發者可以先以指令列出所有OpenSSL函式庫版本，檢視需要更新的部分。

當開發者的Vcpkg相依項目不使用Vcpkg.json清單，則表示是使用典型的命令列模式，用戶可以選擇一次升級所有相依項目，而透過將Vcpkg git repo本地副本更新到最新版本是最快的解法，但用戶也可以選擇只更新OpenSSL，不更新其他內容。

對於透過清單安裝OpenSSL的用戶，就只需要更新Vcpkg.json檔案就可以配置不同的OpenSSL版本，官方提到，建議不要一次更新一個，而是一次更新所有開源相依項目，這樣才能避免衝突，防止相依關係出現菱形相依的問題。