Red Hat セキュリティアドバイザリ 2010:0167 から：

2 つのセキュリティ上の問題を修正する更新済みの gnutls パッケージが、Red Hat Enterprise Linux 4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

GnuTLS ライブラリは、暗号アルゴリズムおよび Transport Layer Security（TLS）のようなプロトコルのサポートを提供します。

TLS/SSL（Transport Layer Security/Secure Sockets Layer）プロトコルがセッションの再ネゴシエーションを処理する方法に欠陥が見つかりました。中間攻撃者は、この欠陥を利用して、クライアントのセッションに任意のプレーンテキストを前置する可能性があります（例えば、 Web サイトへの HTTPS 接続）。これにより、攻撃者のリクエストをまるで被害者の認証情報を使用して認証されたかのようにサーバーに無理に処理させることができます。この更新は、TLS Renegotiation Indication Extension を RFC 5746 での定義に従って実装し、この欠陥に対応します。
(CVE-2009-3555)

CVE-2009-3555 の欠陥の詳細については、次の Knowledge Base の記事を参照してください：
http://kbase.redhat.com/faq/docs/DOC-20491

X.509 証明書から GnuTLS がシリアル番号を抽出する方法に欠陥が見つかりました。64 ビットのビッグエンディアンプラットフォームで、この欠陥は証明書失効リスト（CRL）チェックを回避させたり、いくつかの GnuTLS ユーティリティをクラッシュさせたり、任意のコードを実行させたりすることがあります。(CVE-2010-0731)

GnuTLS のユーザーは、更新済みパッケージにアップグレードすることをお勧めします。この問題を修正するバックポートされたパッチが含まれています。更新した内容を反映させるには、 GnuTLS ライブラリにリンクされたすべてのアプリケーションを再起動するか、システムを再起動する必要があります。

検出

Oracle Linux 4：gnutls（ELSA-2010-0167）

high Nessus プラグイン ID 68021

変更ログが見つかりません