Debian DLA-1560-1:gnutls28 安全更新

medium Nessus 插件 ID 118504

简介

远程 Debian 主机缺少安全更新。

描述

GnuTLS 中发现一系列漏洞,可让攻击者对 TLS 连接中特定的密码类型进行明文恢复。CVE-2018-10844 据发现,HMAC-SHA-256 中的 GnuTLS 实现容易受到 Lucky thirteen 式攻击。远程攻击者使用特制的数据包,通过统计分析时序数据利用此缺陷,可能会发动区分攻击和明文恢复攻击。CVE-2018-10845 据发现,HMAC-SHA-384 中的 GnuTLS 实现容易受到 Lucky thirteen 式攻击。远程攻击者使用特制的数据包,通过统计分析时序数据利用此缺陷,可能会发动区分攻击和明文恢复攻击。CVE-2018-10846 GnuTLS 实现中发现基于缓存的边信道,在跨 VM 攻击设置中可能会造成明文恢复。攻击者使用特制的数据包,可利用 ‘Just in Time’ Prime+probe 攻击以及 Lucky-13 攻击相结合恢复明文。对于 Debian 8“Jessie”,这些问题已在 3.3.30-0~deb8u1 版本中修复。由于上游修复侵入性相当大,还要求密码列表调整,因此更可行的方式是更新到最新的上游版本 3.3.x 分支。此方式也更有利于未来的 LTS 更新。本次调整还包含了下列重要的策略调整,详情请参阅 NEWS 文件:- ARCFOUR (RC4) 和 SSL 3.0 不再包含在默认的优先列表中。这两项需要显式启用,例如分别使用“NORMAL:+ARCFOUR-128”或“NORMAL:+VERS-SSL3.0”等字符串。- 使用 HMAC-SHA384 和 SHA256 的密码已从默认的优先字符串中删除。由于这些密码都依赖于旧版的 TLS CBC 区块模式,因此不具有兼容性或其他目的的必要性,和对应的 SHA1 相比也不具有优势。- 严格遵从 RFC5280 建议,对于 2050 年之前的日期使用 UTCTime。- 要求严格的 DER 证书编码、OCSP 请求、私钥、CRL 和证书请求,减少因 BER 规则的复杂性造成的问题。- 拒绝导入包含扩展的 v1 或 v2 证书。添加了新符号,但保留了 API 和 ABI 兼容性。上传的更新中还包含了大量的缺陷修复。有关更多详细信息,请参阅所提供的上游变更日志。我们建议您升级 gnutls28 程序包,并且已经消除了重大缺陷。注意:Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下,尽可能进行自动整理和排版。

解决方案

升级受影响的程序包。

另见

https://lists.debian.org/debian-lts-announce/2018/10/msg00022.html

https://packages.debian.org/source/jessie/gnutls28

插件详情

严重性: Medium

ID: 118504

文件名: debian_DLA-1560.nasl

版本: 1.5

类型: local

代理: unix

发布时间: 2018/10/31

最近更新时间: 2021/1/11

支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 5.2

CVSS v2

风险因素: Medium

基本分数: 4.3

矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:N/A:N

CVSS v3

风险因素: Medium

基本分数: 5.9

矢量: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

漏洞信息

CPE: p-cpe:/a:debian:debian_linux:gnutls-bin, p-cpe:/a:debian:debian_linux:gnutls-doc, p-cpe:/a:debian:debian_linux:guile-gnutls, p-cpe:/a:debian:debian_linux:libgnutls-deb0-28, p-cpe:/a:debian:debian_linux:libgnutls-openssl27, p-cpe:/a:debian:debian_linux:libgnutls28-dbg, p-cpe:/a:debian:debian_linux:libgnutls28-dev, p-cpe:/a:debian:debian_linux:libgnutlsxx28, cpe:/o:debian:debian_linux:8.0

必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

补丁发布日期: 2018/10/30

漏洞发布日期: 2018/8/22

参考资料信息

CVE: CVE-2018-10844, CVE-2018-10845, CVE-2018-10846