Oracle Solaris サードパーティのパッチの更新：gnutls（cve_2013_1619_cryptographic_issues）

medium Nessus プラグイン ID 80630

Language:

概要

リモートの Solaris システムに、サードパーティのソフトウェアに対するセキュリティのパッチがありません。

説明

リモートの Solaris システムに、次のセキュリティの更新に対処するのに必要なパッチがありません：

- 2.12.23 より前、3.0.28 より前の 3.0.x、および 3.1.7 より前の 3.1.x の GnuTLS での TLS の実装では、無効な形式の CBC パディングの処理中に、不適合な MAC の確認操作で、タイミングサイドチャネル攻撃を適切に考慮していません。これにより、リモートの攻撃者は、細工されたパケットに対するタイミングデータの統計分析を通じて、識別攻撃や平文回復攻撃を仕掛けることができます。これは、CVE-2013-0169 に関連する問題です。
(CVE-2013-1619)

- GnuTLS 2.12.23 の lib/gnutls_cipher.c の _gnutls_ciphertext2compressed 関数により、リモートの攻撃者が、細工されたパディング長を通じて、サービス拒否（バッファオーバーリードとクラッシュ）を引き起こすことが可能です。注：これは CVE-2013-0169 の修正が正しくないことが原因であるかもしれません。
(CVE-2013-2116)