Red Hat セキュリティアドバイザリ 2012:0429 から：

2 つのセキュリティ上の問題を修正する更新済みの gnutls パッケージが、Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

GnuTLS ライブラリは、暗号アルゴリズムおよび Transport Layer Security（TLS）のようなプロトコルのサポートを提供します。

GnuTLS が形式に誤りのある TLS レコードを復号化する方法に、欠陥が見つかりました。
この結果、リモート TLS/SSL 接続ピアから特別に細工された TLS レコードを処理する場合に、 TLS/SSL クライアントまたはサーバーのクラッシュを引き起こす可能性があります。
(CVE-2012-1573)

gnutls_session_get_data() 関数に境界エラーが見つかりました。
悪意ある TLS/SSL サーバーがこの欠陥を利用し、クライアントがサーバーから供給されたセッションデータの実際のサイズをチェックする前に固定サイズのバッファを gnutls_session_get_data() にパスすると、 TLS/SSL クライアントをクラッシュさせたり、クライアントとして任意のコードを実行できる可能性があります。
(CVE-2011-4128)

Red Hat は、Mu Dynamics の Matthew Hall 氏が CVE-2012-1573 を報告してくれたことに感謝の意を表します。

GnuTLS のユーザーは、更新済みパッケージにアップグレードすることをお勧めします。この問題を修正するバックポートされたパッチが含まれています。更新した内容を反映させるには、 GnuTLS ライブラリにリンクされたすべてのアプリケーションを再起動するか、システムを再起動する必要があります。

検出

Oracle Linux 6：gnutls（ELSA-2012-0429）

medium Nessus プラグイン ID 68504

変更ログが見つかりません