Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
(AV:N/AC:L/Au:N/C:P/I:P/A:P)
Производитель ПО
Наименование ПО
gnutls
(any)
gnutls-devel
(any)
Описание
Библиотека GnuTLS предоставляет поддержку криптографических алгоритмов и протоколов, таких как Transport Layer Security (TLS).
Уязвимость обнаружена при обработке повторного создания соединения по протоколам TLS/SSL (Transport Layer Security/Secure Sockets Layer). Злоумышленник может использовать данную уязвимость, чтобы вставить префикс в виде любого текста в сессию клиента (например, при HTTPS-подключении к веб-сайту). Это заставит сервер выполнить запрос злоумышленника, как если бы он прошел аутентификацию с учетными данными жертвы. Данное обновление исправляет эту ошибку, используя TLS Renegotiation Indication Extension, как указано в RFC 5746. (CVE-2009-3555)
Дополнительную информацию можно получить в статье об уязвимости CVE-2009-3555: http://kbase.redhat.com/faq/docs/DOC-20491http://kbase.redhat.com/faq/docs/DOC-20491">http://kbase.redhat.com/faq/docs/DOC-20491 />
Ошибка обнаружена в GnuTLS при извлечении серийных номеров из сертификатов X.509. В 64-битных системах эта уязвимость приводит к тому, что проверка certificate revocation list (CRL) считается пройденной, что вызывает аварийное завершение работы утилит GnuTLS или позволяет выполнить произвольный код. (CVE-2010-0731)
Пользователям GnuTLS рекомендуется обновить программное обеспечение, чтобы избавиться от указанных проблем. Чтобы изменения вступили в силу, все приложения, использующие библиотеку GnuTLS, необходимо перезагрузить.
Уязвимость обнаружена при обработке повторного создания соединения по протоколам TLS/SSL (Transport Layer Security/Secure Sockets Layer). Злоумышленник может использовать данную уязвимость, чтобы вставить префикс в виде любого текста в сессию клиента (например, при HTTPS-подключении к веб-сайту). Это заставит сервер выполнить запрос злоумышленника, как если бы он прошел аутентификацию с учетными данными жертвы. Данное обновление исправляет эту ошибку, используя TLS Renegotiation Indication Extension, как указано в RFC 5746. (CVE-2009-3555)
Дополнительную информацию можно получить в статье об уязвимости CVE-2009-3555: http://kbase.redhat.com/faq/docs/DOC-20491
Пользователям GnuTLS рекомендуется обновить программное обеспечение, чтобы избавиться от указанных проблем. Чтобы изменения вступили в силу, все приложения, использующие библиотеку GnuTLS, необходимо перезагрузить.
Как исправить
Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
https://rhn.redhat.com/errata/RHSA-2010-0167.html
https://rhn.redhat.com/errata/RHSA-2010-0167.html
Ссылки
https://rhn.redhat.com/errata/RHSA-2010-0167.html
CVE (CVE-2009-3555): https://www.redhat.com/security/data/cve/CVE-2009-3555.html
CVE (CVE-2010-0731): https://www.redhat.com/security/data/cve/CVE-2010-0731.html
BUGZILLA (533125): http://bugzilla.redhat.com/533125
BUGZILLA (573028): http://bugzilla.redhat.com/573028
Источник: CVE
Наименование: CVE-2009-3555
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3555
Источник: CVE
Наименование: CVE-2010-0731
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0731
CVE (CVE-2009-3555): https://www.redhat.com/security/data/cve/CVE-2009-3555.html
CVE (CVE-2010-0731): https://www.redhat.com/security/data/cve/CVE-2010-0731.html
BUGZILLA (533125): http://bugzilla.redhat.com/533125
BUGZILLA (573028): http://bugzilla.redhat.com/573028
Источник: CVE
Наименование: CVE-2009-3555
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3555
Источник: CVE
Наименование: CVE-2010-0731
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0731
