CentOS 6：gnutls (CESA-2015:1457)
high Nessus 插件 ID 85023
语言：
简介
远程 CentOS 主机缺少一个或多个安全更新。描述
更新后的 gnutls 程序包修复了三个安全问题和一个缺陷，现在可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。
GnuTLS 库提供对加密算法以及传输层安全 (TLS) 等协议的支持。
已发现 GnuTLS 不会检查 CA 证书的激活和到期日期。这可能导致使用 GnuTLS 的应用程序在某 CA 已过期的情况下，将其颁发的证书视为有效证书。(CVE-2014-8155)
已发现 GnuTLS 未验证签名中与证书中列出的哈希算法是否匹配。攻击者可以创建所使用的哈希算法与声明的算法不一致的证书，这可能导致 GnuTLS 在验证证书时使用不安全、禁用的哈希算法。(CVE-2015-0282)
已发现 GnuTLS 未检查 X.509 证书的所有部分是否均表示同一签名算法。此缺陷与另一缺陷相结合，可能导致绕过证书签名检查。(CVE-2015-0294)
CVE-2014-8155 问题由 Red Hat 的 Marcel Kolaja 发现。
CVE-2015-0282 和 CVE-2015-0294 问题由 Red Hat Security Technologies 团队的 Nikos Mavrogiannopoulos 发现。
此更新还修复以下缺陷：
* 以前，在特定情况下，certtool 实用程序可以生成包含负系数的 X.509 证书。
因此，软件与这类证书之间可能存在互操作问题。此缺陷已修复，现在 certtool 不会再生成包含负系数的 X.509 证书。
(BZ#1036385)
建议 gnutls 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。
解决方案
更新受影响的 gnutls 程序包。另见
插件详情
严重性: High
ID: 85023
文件名: centos_RHSA-2015-1457.nasl
版本: 2.7
类型: local
代理: unix
发布时间: 2015/7/28
最近更新时间: 2021/1/4
支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus
风险信息
VPR
风险因素: Low
分数: 3.6
CVSS v2
风险因素: Medium
基本分数: 5
时间分数: 3.7
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N
CVSS 分数来源: CVE-2015-0282
CVSS v3
风险因素: High
基本分数: 7.5
时间分数: 6.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:centos:centos:gnutls, p-cpe:/a:centos:centos:gnutls-devel, p-cpe:/a:centos:centos:gnutls-guile, p-cpe:/a:centos:centos:gnutls-utils, cpe:/o:centos:centos:6
必需的 KB 项: Host/local_checks_enabled, Host/CentOS/release, Host/CentOS/rpm-list
易利用性: No known exploits are available
补丁发布日期: 2015/7/26
漏洞发布日期: 2015/3/24
参考资料信息
CVE: CVE-2014-8155, CVE-2015-0282, CVE-2015-0294
RHSA: 2015:1457