複数のセキュリティ問題を修正する、更新済みの GnuTLS パッケージが Red Hat Enterprise Linux 4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

GnuTLS ライブラリは、暗号アルゴリズムおよび TLS のようなプロトコルのサポートを提供します。GnuTLS には、DER エンコーディングおよびデコーディングを含む ASN.1 構造管理のために開発されたライブラリである libtasn1 が含まれています。

GnuTLS の悪意のあるクライアント接続の処理過程に欠陥が見つかりました。悪意のあるリモートクライアントは、GnuTLS を使用して特別に細工されたリクエストをサービスに送信することができます。これにより、サービスがクラッシュすることがあります。（CVE-2008-1948、 CVE-2008-1949、CVE-2008-1950）

弊社では、CVE-2008-1948 の欠陥を利用して、任意のコードが実行される可能性があると考えています。ただし、このアドバイザリのリリース時においてこれは証明されていません。Red Hat Enterprise Linux 4 は、この欠陥に直接影響を受けるアプリケーションが含まれた状態では出荷されません。ただし、Red Hat Enterprise Linux 4 で実行するサードパーティソフトウェアは、この脆弱性の影響を受ける可能性があります。その結果、高い重要度を指定することにしました。

GnuTLS ユーザーは、これらの問題を修正するバックポートパッチが含まれる、更新済みパッケージへのアップグレードが推奨されます。

検出

CentOS 4：gnutls（CESA-2008:0492）

critical Nessus プラグイン ID 43689

変更ログが見つかりません