Debian DSA-2869-1：gnutls26 - 正しくない証明書の検証

medium Nessus プラグイン ID 72782

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Red Hat の Nikos Mavrogiannopoulos 氏は、SSL/TLS ライブラリである GnuTLS に X.509 証明書の検証の問題があることを発見しました。証明書の検証は、エラーの場合でも正常に報告される可能性があったため、すべての検証手順が実行できなくなる場合がありました。

TLS 接続の中間者を行っている攻撃者は、この脆弱性を利用して、入念に細工された証明書を提示する可能性があるため、信頼できる権限者による署名が一切ない場合でも、GnuTLS はこの証明書を有効として受け入れる場合がありました。

ソリューション

gnutls26 パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（squeeze）では、この問題はバージョン 2.8.6-1+squeeze3 で修正されています。

安定版（stable）ディストリビューション（wheezy）では、この問題はバージョン 2.12.20-8+deb7u1 で修正されています。