更新后的 gnutls 程序包修复了安全漏洞：

Suman Jana 报告了影响 gnutls 3.1.x 和 gnutls 3.2.x 的证书验证函数的漏洞。第 1 版中间证书默认被视为 CA 证书（有些源自记载的行为） (CVE-2014-1959)。

已发现 GnuTLS 未正确处理某些在 X.509 证书验证期间可能发生的错误，导致其错误报告成功的验证。攻击者可利用此缺陷创建特别构建的证书，可被 GnuTLS 接受为对攻击者所选站点有效的证书 (CVE-2014-0092)。

在 GnuTLS 的 gnutls_x509_dn_oid_name() 中发现空指针取消引用缺陷。当使用 GNUTLS_X509_DN_OID_RETURN_OID 标记进行调用时，该函数不应向其调用程序返回 NULL 值。但是，当解析的 X.509 证书包含特定 OID 时，其之前可能返回了 NULL 值 (CVE-2014-3465)。

在 GnuTLS 解析来自 TLS/SSL 握手的 Server Hello 数据包的会话 ID 的方式中发现一个缺陷。恶意服务器可利用此缺陷发送过长的会话 ID 值，并使用 GnuTLS 在连接的 TLS/SSL 客户端中触发缓冲区溢出，导致其崩溃或可能执行任意代码 (CVE-2014-3466)。

在 GnuTLS 解析特定 ECC（椭圆曲线加密）证书或证书签名请求 (CSR) 的方式中发现越界内存写入缺陷。恶意用户可创建特别构建的 ECC 证书或证书签名请求，通过针对 GnuTLS（例如 certtool）编译的应用程序进行处理时，可导致应用程序崩溃或以运行应用程序的用户的权限执行任意代码 (CVE-2014-8564)。

更新后的 gnutls 程序包修复了安全漏洞：

在 GnuTLS 解析特定 ECC（椭圆曲线加密）证书或证书签名请求 (CSR) 的方式中发现越界内存写入缺陷。恶意用户可创建特别构建的 ECC 证书或证书签名请求，通过针对 GnuTLS（例如 certtool）编译的应用程序进行处理时，可导致应用程序崩溃或以运行应用程序的用户的权限执行任意代码 (CVE-2014-8564)。

Gnutls 已更新，修复了一个安全问题。

- 修复了 TLS 上的椭圆曲线 blob 中的解析问题（此问题可导致远程崩溃）(CVE-2014-8564)。

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

在 GnuTLS 解析特定 ECC（椭圆曲线加密）证书或证书签名请求 (CSR) 的方式中发现越界内存写入缺陷。恶意用户可创建特别构建的 ECC 证书或证书签名请求，通过针对 GnuTLS（例如 certtool）编译的应用程序进行处理时，可导致应用程序崩溃或以运行该应用程序的用户的权限执行任意代码。
(CVE-2014-8564)

为使更新生效，必须重新启动链接到 GnuTLS 或 libtasn1 库的所有应用程序。

CVE-2014-8564 的新上游版本安全补丁

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

来自 Red Hat 安全公告 2014:1846：

更新后的 gnutls 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

GnuTLS 库提供对加密算法以及传输层安全 (TLS) 等协议的支持。gnutls 程序包还包括 libtasn1 库，其中提供抽象语法标记一 (ASN.1) 解析和结构管理以及可辨别编码规则 (DER) 编码和解码函数。

在 GnuTLS 解析特定 ECC（椭圆曲线加密）证书或证书签名请求 (CSR) 的方式中发现越界内存写入缺陷。恶意用户可创建特别构建的 ECC 证书或证书签名请求，通过针对 GnuTLS（例如 certtool）编译的应用程序进行处理时，可导致应用程序崩溃或以运行该应用程序的用户的权限执行任意代码。
(CVE-2014-8564)

Red Hat 在此感谢　GnuTLS 上游报告此问题。
上游感谢原始报告者 Sean Burford。

建议所有 gnutls 用户升级这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。为使更新生效，必须重新启动链接到 GnuTLS 或 libtasn1 库的所有应用程序。

Gnutls 已更新，修复了一个安全问题。&#9; 修复了此安全问题：

- TLS 上的椭圆曲线 blob 中的解析问题（此问题可导致远程崩溃）(CVE-2014-8564)。

更新后的 gnutls 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

GnuTLS 库提供对加密算法以及传输层安全 (TLS) 等协议的支持。gnutls 程序包还包括 libtasn1 库，其中提供抽象语法标记一 (ASN.1) 解析和结构管理以及可辨别编码规则 (DER) 编码和解码函数。

在 GnuTLS 解析特定 ECC（椭圆曲线加密）证书或证书签名请求 (CSR) 的方式中发现越界内存写入缺陷。恶意用户可创建特别构建的 ECC 证书或证书签名请求，通过针对 GnuTLS（例如 certtool）编译的应用程序进行处理时，可导致应用程序崩溃或以运行该应用程序的用户的权限执行任意代码。
(CVE-2014-8564)

Red Hat 在此感谢　GnuTLS 上游报告此问题。
上游感谢原始报告者 Sean Burford。

建议所有 gnutls 用户升级这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。为使更新生效，必须重新启动链接到 GnuTLS 或 libtasn1 库的所有应用程序。

Sean Burford 发现 GnuTLS 未正确处理某些椭圆曲线参数的打印。恶意远程服务器或客户端可利用此问题使 GnuTLS 崩溃，从而导致拒绝服务或者可能执行任意代码。

针对 CVE-2014-8564 的安全补丁

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
82325	Mandriva Linux 安全公告：gnutls (MDVSA-2015:072)	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/6	medium
79347	Mandriva Linux 安全公告：gnutls (MDVSA-2014:215)	Nessus	Mandriva Local Security Checks	2014/11/20	2021/1/6	medium
83650	SUSE SLED12 / SLES12 安全更新：gnutls (SUSE-SU-2014:1628-1)	Nessus	SuSE Local Security Checks	2015/5/20	2021/1/19	medium
79231	Scientific Linux 安全更新：SL7.x x86_64 中的 gnutls	Nessus	Scientific Linux Local Security Checks	2014/11/13	2021/1/14	medium
79262	Fedora 21：gnutls-3.3.10-1.fc21 (2014-14734)	Nessus	Fedora Local Security Checks	2014/11/17	2021/1/11	medium
79227	Oracle Linux 7：gnutls (ELSA-2014-1846)	Nessus	Oracle Linux Local Security Checks	2014/11/13	2021/1/14	medium
79413	openSUSE 安全更新：gnutls (openSUSE-SU-2014:1472-1)	Nessus	SuSE Local Security Checks	2014/11/24	2021/1/19	medium
79207	RHEL 7：gnutls (RHSA-2014:1846)	Nessus	Red Hat Local Security Checks	2014/11/12	2021/1/14	medium
79209	Ubuntu 14.10：gnutls28 漏洞 (USN-2403-1)	Nessus	Ubuntu Local Security Checks	2014/11/12	2021/1/19	medium
79220	CentOS 7：gnutls (CESA-2014:1846)	Nessus	CentOS Local Security Checks	2014/11/13	2021/1/4	medium
79240	Fedora 20：gnutls-3.1.28-1.fc20 (2014-14760)	Nessus	Fedora Local Security Checks	2014/11/14	2021/1/11	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium