<div dir="ltr">Is it just s_client that doesn't support SSLv3 for you, or is it everything? SSLv3 seems to be disabled in s_client (the -ssl3 switch is no longer accepted), but doesn't actually seem to be disabled in the library.<div><br></div><div>I built sslscan (<a href="https://github.com/rbsec/sslscan">https://github.com/rbsec/sslscan</a>) against the latest OpenSSL on a Debian sid system and although I got warnings that OPENSSL_NO_SSL3 was set, it still connected fine using SSLv3 servers.</div><div><br></div><div>$ cat sslscan.c<br></div><div><...></div><div><div>2698 #ifdef OPENSSL_NO_SSL3</div><div>2699             printf("\t\t%sOpenSSL version does not support SSLv3%s\n", COL_RED, RESET);</div><div>2700             printf("\t\t%sSSLv3 ciphers will not be detected%s\n", COL_RED, RESET);</div><div>2701 #endif</div></div><div><...></div><div><br></div><div><div>$ make</div><div>gcc -Wall -L/usr/local/ssl/lib/ sslscan.c -I/usr/local/ssl/include/ -I/usr/local/ssl/include/openssl/ -lssl -lcrypto -o sslscan</div></div><div><br></div><div><div>$ ./sslscan --no-heartbleed --no-renegotiation --no-compression --ssl3 <target></div><div>Version: 1.9.6-rbsec</div><div>OpenSSL 1.0.1j 15 Oct 2014</div><div><br></div><div>OpenSSL version does not support SSLv2</div><div>SSLv2 ciphers will not be detected</div><div><br></div><div>OpenSSL version does not support SSLv3</div><div>SSLv3 ciphers will not be detected</div><div><br></div><div>Testing SSL server <target> on port 443</div><div><br></div><div>  Supported Server Cipher(s):</div><div>Accepted  SSLv3    256 bits  AES256-SHA</div><div>Accepted  SSLv3    128 bits  AES128-SHA</div><div>Accepted  SSLv3    128 bits  RC4-SHA</div><div>Accepted  SSLv3    112 bits  DES-CBC3-SHA</div></div><div><br></div><div><div>$ dpkg -l</div><div><...></div><div>ii  openssl                        1.0.1j-1                      amd64        Secure Sockets Layer toolkit - cryptographic utility<br></div></div><div><div>ii  libssl-dev:amd64               1.0.1j-1                      amd64        Secure Sockets Layer toolkit - development files</div></div><div><br></div><div><div>$ /usr/bin/openssl version</div><div>OpenSSL 1.0.1j 15 Oct 2014</div></div><div><br></div><div><br></div><div>Am I doing something stupid here, or is the fix for CVE-2014-3568 incomplete?<br></div><div><br></div><div>~rbsec</div></div>