FreeBSD: cURL -- TLSセッション再開クライアント証明書バイパス（再度）（3e2e9b44-25ce-11e7-a175-939b30e0836d）

high Nessus プラグイン ID 99552

Language:

概要

リモートのFreeBSDホストに、セキュリティ関連の更新プログラムがありません。

説明

cURLセキュリティアドバイザリ:

クライアント証明書が変更されていても、libcurlがTLSセッションの再開を試みます。これは、仕様上、サーバーが再開時にクライアント証明書のチェックをスキップし、その代わりに以前の証明書（または証明書なし）で確立された古いIDを使用する可能性があるため、受け入れられません。

libcurlは、デフォルトで、後続のTLSハンドシェイクを高速化するために、以前のTLSセッションを再開するためのTLSセッションID/チケットの使用をサポートします。これらは、何らかの理由で既存のTLS接続が維持されない場合に使用され、次のハンドシェイクをより高速にします。

この欠陥は回帰であり、2016年8月3日に報告されたCVE-2016-5419と同一ですが、異なるバージョン範囲に影響を与えます。