Debian DSA-1935-1：gnutls13 gnutls26 - いくつかの脆弱性

high Nessus プラグイン ID 44800

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Dan Kaminsky 氏および Moxie Marlinspike 氏は、TLS/SSL プロトコルの実装である gnutls が、X.509 証明書のサブジェクトの Common Name または Subject Alternative Name（SAN）フィールドで、ドメイン名にある「\0」文字を適切に処理していないことを発見しました。これにより、中間攻撃者は、正当な証明機関が発行した細工された証明書を使用して、任意の SSL サーバーになりすますことが可能です。
（CVE-2009-2730）

また、この更新では、MD2 ハッシュ署名を持つ証明書は、セキュアな暗号とはもう考えられないため、受け入れられなくなりました。この問題の影響を受けるのは、旧安定版（oldstable）ディストリビューション（etch）のみです（CVE-2009-2409）

ソリューション

gnutls13/gnutls26 パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（etch）では、これらの問題は gnutls13 のバージョン 1.4.4-3+etch5 で修正されました。

安定版（stable）ディストリビューション（lenny）では、これらの問題は gnutls26 のバージョン 2.4.2-6+lenny2 で修正されました。