3 つのセキュリティ問題と 1 つのバグを修正する更新済み gnutls パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

GnuTLS ライブラリは、暗号アルゴリズムおよび Transport Layer Security（TLS）のようなプロトコルのサポートを提供します。

GnuTLS が CA 証明書のアクティベーションおよび有効期限をチェックしていなかったことが分かりました。これにより、GnuTLS を使用しているアプリケーションが、発行の時点で CA が既に有効期限切れであるのに、誤って証明書を承認する可能性があります。(CVE-2014-8155)

GnuTLS が、署名でリストされているハッシュ化アルゴリズムと証明書でリストされているハッシュ化アルゴリズムが一致しているかどうかを確認していなかったことを見つかりました。攻撃者が、要求されているものと異なるハッシュ化アルゴリズムを使用する証明書を作成し、これによって GnuTLS にセキュアでない、許可されていないハッシュ化アルゴリズムを証明書の検証で使用させる可能性があります。(CVE-2015-0282)

GnuTLS は、X.509 証明書のすべてのセクションが同じ署名アルゴリズムを示しているかをチェックしていなかったことが見つかりました。この欠陥が、別の欠陥と組み合わされて、証明書の署名チェックのバイパスにつながる可能性があります。(CVE-2015-0294)

CVE-2014-8155 の問題は、Red Hat の Marcel Kolaja 氏により発見されました。
CVE-2015-0282 および CVE-2015-0294 の問題は、 Red Hat セキュリティ技術チームの Nikos Mavrogiannopoulos 氏が見つけました。

この更新では以下のバグも修正されます。

* 以前は、特定の状況で、certtool ユーティリティが、ネガティブなモジュールを含んでいる X.509 証明書を生成することがありました。
その結果、こうした証明書には、それらを使用するソフトウェアでの相互運用の問題がある可能性があります。このバグが修正されて、 certtool はネガティブなモジュールを含んでいる X.509 証明書を生成しなくなりました。
（BZ#1036385）

gnutls の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

GnuTLS が、予想に反して、CA 証明書で日付と時間のチェックを実行しないことが判明しました。この問題の影響を受けるのは、Ubuntu 10.04 LTSのみです。(CVE-2014-8155) 

Nikos Mavrogiannopoulos 氏は、GnuTLS が、署名アルゴリズムの一致を不適切に検証することを発見しました。リモートの攻撃者が、この問題を利用して、許可されていないアルゴリズムにダウングレードする可能性があります。この問題は、Ubuntu 10.04 LTS、Ubuntu 12.04 LTS および Ubuntu 14.04 LTS にのみ影響を与えます。
(CVE-2015-0282)

GnuTLS が証明書アルゴリズムを不適切に検証することが判明しました。リモートの攻撃者が、この問題を利用して、許可されていないアルゴリズムにダウングレードする可能性があります。(CVE-2015-0294)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Red Hat セキュリティアドバイザリ 2015:1457 から：

3 つのセキュリティ問題と 1 つのバグを修正する更新済み gnutls パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

GnuTLS ライブラリは、暗号アルゴリズムおよび Transport Layer Security（TLS）のようなプロトコルのサポートを提供します。

GnuTLS が CA 証明書のアクティベーションおよび有効期限をチェックしていなかったことが分かりました。これにより、GnuTLS を使用しているアプリケーションが、発行の時点で CA が既に有効期限切れであるのに、誤って証明書を承認する可能性があります。(CVE-2014-8155)

GnuTLS が、署名でリストされているハッシュ化アルゴリズムと証明書でリストされているハッシュ化アルゴリズムが一致しているかどうかを確認していなかったことを見つかりました。攻撃者が、要求されているものと異なるハッシュ化アルゴリズムを使用する証明書を作成し、これによって GnuTLS にセキュアでない、許可されていないハッシュ化アルゴリズムを証明書の検証で使用させる可能性があります。(CVE-2015-0282)

GnuTLS は、X.509 証明書のすべてのセクションが同じ署名アルゴリズムを示しているかをチェックしていなかったことが見つかりました。この欠陥が、別の欠陥と組み合わされて、証明書の署名チェックのバイパスにつながる可能性があります。(CVE-2015-0294)

CVE-2014-8155 の問題は、Red Hat の Marcel Kolaja 氏により発見されました。
CVE-2015-0282 および CVE-2015-0294 の問題は、 Red Hat セキュリティ技術チームの Nikos Mavrogiannopoulos 氏が見つけました。

この更新では以下のバグも修正されます。

* 以前は、特定の状況で、certtool ユーティリティが、ネガティブなモジュールを含んでいる X.509 証明書を生成することがありました。
その結果、こうした証明書には、それらを使用するソフトウェアでの相互運用の問題がある可能性があります。このバグが修正されて、 certtool はネガティブなモジュールを含んでいる X.509 証明書を生成しなくなりました。
（BZ#1036385）

gnutls の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

GnuTLS は、以下の 2 つのセキュリティ問題を修正するために、更新されました。

- 証明書アルゴリズムの一貫性確認問題が修正されました。この問題では、GnuTLS は、証明書のインポート時の 2 つの署名アルゴリズムが一致しているかを、確認しませんでした。現在のところ、この問題は悪用できると考えられていません。
 (CVE-2015-0294)

- GNUTLS-SA-2015-1：GnuTLS は、RSA PKCS #1 署名アルゴリズムが証明書の署名アルゴリズムと一致していることを検証しませんでした。これにより、MD5 などの許可されないアルゴリズムに、検出せずにダウングレードする可能性がありました。
 (CVE-2015-0282)

GnuTLS が CA 証明書のアクティベーションおよび有効期限をチェックしていなかったことが分かりました。これにより、GnuTLS を使用しているアプリケーションが、発行の時点で CA が既に有効期限切れであるのに、誤って証明書を承認する可能性があります。(CVE-2014-8155)

GnuTLS が、署名でリストされているハッシュ化アルゴリズムと証明書でリストされているハッシュ化アルゴリズムが一致しているかどうかを確認していなかったことを見つかりました。攻撃者が、要求されているものと異なるハッシュ化アルゴリズムを使用する証明書を作成し、これによって GnuTLS にセキュアでない、許可されていないハッシュ化アルゴリズムを証明書の検証で使用させる可能性があります。(CVE-2015-0282)

GnuTLS は、X.509 証明書のすべてのセクションが同じ署名アルゴリズムを示しているかをチェックしていなかったことが見つかりました。この欠陥が、別の欠陥と組み合わされて、証明書の署名チェックのバイパスにつながる可能性があります。(CVE-2015-0294)

GnuTLS が CA 証明書のアクティベーションおよび有効期限をチェックしていなかったことが分かりました。これにより、GnuTLS を使用しているアプリケーションが、発行の時点で CA が既に有効期限切れであるのに、誤って証明書を承認する可能性があります。(CVE-2014-8155)

GnuTLS が、署名でリストされているハッシュ化アルゴリズムと証明書でリストされているハッシュ化アルゴリズムが一致しているかどうかを確認していなかったことを見つかりました。攻撃者が、要求されているものと異なるハッシュ化アルゴリズムを使用する証明書を作成し、これによって GnuTLS にセキュアでない、許可されていないハッシュ化アルゴリズムを証明書の検証で使用させる可能性があります。(CVE-2015-0282)

GnuTLS は、X.509 証明書のすべてのセクションが同じ署名アルゴリズムを示しているかをチェックしていなかったことが見つかりました。この欠陥が、別の欠陥と組み合わされて、証明書の署名チェックのバイパスにつながる可能性があります。(CVE-2015-0294)

CVE-2014-8155 の問題は、Red Hat の Marcel Kolaja 氏により発見されました。
CVE-2015-0282 および CVE-2015-0294 の問題は、 Red Hat セキュリティ技術チームの Nikos Mavrogiannopoulos 氏が見つけました。

この更新では以下のバグも修正されます。

- 以前は、特定の状況において、certtool ユーティリティが、ネガティブなモジュールを含む X.509 証明書を生成する可能性がありました。その結果、こうした証明書には、それらを使用するソフトウェアでの相互運用の問題がある可能性があります。このバグが修正されて、 certtool はネガティブなモジュールを含んでいる X.509 証明書を生成しなくなりました。

リモートの OracleVM システムに、重要なセキュリティ更新に対処するために必要なパッチがありません。

- CVE-2015-0282 を修正します（#1198159）

- CVE-2015-0294 を修正します（#1198159）

- mpi 印刷における値の初期化を修正しました（#1129241）

- CA 証明書の有効期限情報をチェック（#1159778）

- 証明書と鍵における整数パディングの問題を修正（#1036385）

- セッション ID 長のチェックを修正（#1102025）

- CVE-2014-0092 を修正します（#1069891）

- CVE-2013-2116 を修正- （CVE-2013-1619）upstream パッチの DoS 回帰を修正（#966754）

- CVE-2013-1619 を修正 - TLS-CBC タイミング攻撃を修正（#908238）

TLS および SSL プロトコルを実装するライブラリである GnuTLS で複数の脆弱性が発見されています。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2015-0282 GnuTLS は、RSA PKCS #1 署名アルゴリズムを検証して、証明書内の署名アルゴリズムを照合しません。このため、見破られることなく、許可されていないアルゴリズムへのダウングレードが発生する可能性があります。

- CVE-2015-0294 GnuTLS が、証明書のインポート時に、2 つの署名アルゴリズムが一致するかどうかをチェックしないことが報告されました。

TLS および SSL プロトコルを実装するライブラリである GnuTLS で複数の脆弱性が発見されています。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

CVE-2014-8155

CA 証明書の日付/時間チェックの欠落

CVE-2015-0282

GnuTLS は、RSA PKCS #1 署名アルゴリズムが証明書内の署名アルゴリズムと一致していることを検証していません。このため、許可されないアルゴリズムに、検出せずにダウングレードする可能性があります。

CVE-2015-0294

GnuTLS は、証明書のインポート時に、2 つの署名アルゴリズムが一致するかどうかをチェックしません。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

3.1.0 以前の GnuTLS は、RSA PKCS #1 署名アルゴリズムが証明書内の署名アルゴリズムと一致していることを検証していません。これにより、リモートの攻撃者は、詳細不明なベクトルを通じて、ダウングレード攻撃を仕掛けることができます。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
85023	CentOS 6：gnutls（CESA-2015:1457）	Nessus	CentOS Local Security Checks	2015/7/28	2021/1/4	high
82024	Ubuntu 14.04 LTS : GnuTLSの脆弱性 (USN-2540-1)	Nessus	Ubuntu Local Security Checks	2015/3/24	2023/10/20	high
85109	Oracle Linux 6：gnutls（ELSA-2015-1457）	Nessus	Oracle Linux Local Security Checks	2015/7/30	2021/1/14	high
82639	SuSE 11.3 セキュリティ更新：GnuTLS（SAT パッチ番号 10536）	Nessus	SuSE Local Security Checks	2015/4/8	2021/1/6	medium
85230	Amazon Linux AMI：gnutls（ALAS-2015-575）	Nessus	Amazon Linux Local Security Checks	2015/8/5	2020/2/3	high
85193	Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の gnutls	Nessus	Scientific Linux Local Security Checks	2015/8/4	2021/1/14	high
85142	OracleVM 3.3：gnutls（OVMSA-2015-0101）	Nessus	OracleVM Local Security Checks	2015/7/31	2021/1/4	high
84949	RHEL 6：gnutls（RHSA-2015:1457）	Nessus	Red Hat Local Security Checks	2015/7/23	2021/2/5	high
81835	Debian DSA-3191-1：gnutls26 - セキュリティ更新	Nessus	Debian Local Security Checks	2015/3/17	2021/1/11	high
82166	Debian DLA-180-1：gnutls26 のセキュリティ更新	Nessus	Debian Local Security Checks	2015/3/26	2021/1/11	high
86187	F5 Networks BIG-IP：GnuTLS RSA PKCS 署名の脆弱性（SOL17327）	Nessus	F5 Networks Local Security Checks	2015/9/29	2021/3/10	medium

検出

プラグインの検索

high

high

high

medium

high

high

high

high

high

high

medium