RHEL 6:gnutls(RHSA-2015:1457)

high Nessus プラグイン ID 84949

概要

リモート Red Hat ホストに 1 つ以上のセキュリティ更新がありません。

説明

3 つのセキュリティ問題と 1 つのバグを修正する更新済み gnutls パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System (CVSS)のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

GnuTLS ライブラリは、暗号アルゴリズムおよび Transport Layer Security(TLS)のようなプロトコルのサポートを提供します。

GnuTLS が CA 証明書のアクティベーションおよび有効期限をチェックしていなかったことが分かりました。これにより、GnuTLS を使用しているアプリケーションが、発行の時点で CA が既に有効期限切れであるのに、誤って証明書を承認する可能性があります。(CVE-2014-8155)

GnuTLS が、署名でリストされているハッシュ化アルゴリズムと証明書でリストされているハッシュ化アルゴリズムが一致しているかどうかを確認していなかったことを見つかりました。攻撃者が、要求されているものと異なるハッシュ化アルゴリズムを使用する証明書を作成し、これによって GnuTLS にセキュアでない、許可されていないハッシュ化アルゴリズムを証明書の検証で使用させる可能性があります。(CVE-2015-0282)

GnuTLS は、X.509 証明書のすべてのセクションが同じ署名アルゴリズムを示しているかをチェックしていなかったことが見つかりました。この欠陥が、別の欠陥と組み合わされて、証明書の署名チェックのバイパスにつながる可能性があります。(CVE-2015-0294)

CVE-2014-8155 の問題は、Red Hat の Marcel Kolaja 氏により発見されました。
CVE-2015-0282 および CVE-2015-0294 の問題は、 Red Hat セキュリティ技術チームの Nikos Mavrogiannopoulos 氏が見つけました。

この更新では以下のバグも修正されます。

* 以前は、特定の状況で、certtool ユーティリティが、ネガティブなモジュールを含んでいる X.509 証明書を生成することがありました。
その結果、こうした証明書には、それらを使用するソフトウェアでの相互運用の問題がある可能性があります。このバグが修正されて、 certtool はネガティブなモジュールを含んでいる X.509 証明書を生成しなくなりました。
(BZ#1036385)

gnutls の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

ソリューション

影響を受けるパッケージを更新してください。

関連情報

https://access.redhat.com/errata/RHSA-2015:1457

https://access.redhat.com/security/cve/cve-2014-8155

https://access.redhat.com/security/cve/cve-2015-0282

https://access.redhat.com/security/cve/cve-2015-0294

プラグインの詳細

深刻度: High

ID: 84949

ファイル名: redhat-RHSA-2015-1457.nasl

バージョン: 2.10

タイプ: local

エージェント: unix

公開日: 2015/7/23

更新日: 2021/2/5

サポートされているセンサー: Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent

リスク情報

VPR

リスクファクター: Low

スコア: 3.6

CVSS v2

リスクファクター: Medium

Base Score: 5

Temporal Score: 4.3

ベクトル: AV:N/AC:L/Au:N/C:N/I:P/A:N

現状ベクトル: E:ND/RL:OF/RC:C

CVSS v3

リスクファクター: High

Base Score: 7.5

Temporal Score: 6.5

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

現状ベクトル: E:U/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:redhat:enterprise_linux:gnutls, p-cpe:/a:redhat:enterprise_linux:gnutls-debuginfo, p-cpe:/a:redhat:enterprise_linux:gnutls-devel, p-cpe:/a:redhat:enterprise_linux:gnutls-guile, p-cpe:/a:redhat:enterprise_linux:gnutls-utils, cpe:/o:redhat:enterprise_linux:6

必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2015/7/22

脆弱性公開日: 2015/3/24

参照情報

CVE: CVE-2014-8155, CVE-2015-0282, CVE-2015-0294

BID: 73119, 73162, 73317

RHSA: 2015:1457