用于 Red Hat Enterprise Linux 4 和 5 的更新 kdelibs 程序包以及用于 Red Hat Enterprise Linux 6 的更新 kdelibs3 程序包现已可用，它们修复了一个安全问题。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

kdelibs 和 kdelibs3 程序包为 K Desktop Environment (KDE) 提供库。

已在 KSSL（KDE SSL 封装程序）API 中发现输入审查缺陷。攻击者可将特别构建的 SSL 证书（例如通过网页）提供给使用 KSSL 的应用程序，比如 Konqueror Web 浏览器，从而造成向用户呈现误导信息，可能欺骗他们接受这些证书为有效证书。(CVE-2011-3365)

用户应升级这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。必须重新启动（注销，然后再登录）桌面才能使此更新生效。

远程主机受到 GLSA-201406-34 中所述漏洞的影响（KDE 库：多个漏洞）

    已在 KDE 库中发现多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    远程攻击者可通过由合法证书颁发机构颁发的任何证书造成中间人攻击。此外，本地攻击者可通过信息泄漏获知用户密码。
  变通方案：

    目前无任何已知的变通方案。

kdelibs 和 kdelibs3 程序包为 K Desktop Environment (KDE) 提供库。

已在 KSSL（KDE SSL 封装程序）API 中发现输入审查缺陷。攻击者可将特别构建的 SSL 证书（例如通过网页）提供给使用 KSSL 的应用程序，比如 Konqueror Web 浏览器，从而造成向用户呈现误导信息，可能欺骗他们接受这些证书为有效证书。(CVE-2011-3365)

用户应升级这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。必须重新启动（注销，然后再登录）桌面才能使此更新生效。

kdelibs 程序包为 K Desktop Environment (KDE) 提供库。

已在 KSSL（KDE SSL 封装程序）API 中发现输入审查缺陷。攻击者可将特别构建的 SSL 证书（例如通过网页）提供给使用 KSSL 的应用程序，比如 Konqueror Web 浏览器，从而造成向用户呈现误导信息，可能欺骗他们接受这些证书为有效证书。(CVE-2011-3365)

此更新还添加了以下增强：

- kdelibs 提供自己的受信任证书颁发机构 (CA) 的证书集。此更新使得 kdelibs 使用 ca-certificates 程序包中的系统设置，而不是自己的副本。

用户应升级这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序并添加此增强。必须重新启动（注销，然后再登录）桌面才能使此更新生效。

来自 Red Hat 安全公告 2011:1364：

更新后的 kdelibs 程序包修复了一个安全问题并添加了一项增强，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

kdelibs 程序包为 K Desktop Environment (KDE) 提供库。

已在 KSSL（KDE SSL 封装程序）API 中发现输入审查缺陷。攻击者可将特别构建的 SSL 证书（例如通过网页）提供给使用 KSSL 的应用程序，比如 Konqueror Web 浏览器，从而造成向用户呈现误导信息，可能欺骗他们接受这些证书为有效证书。(CVE-2011-3365)

此更新还添加了以下增强：

* kdelibs 提供自己的受信任证书颁发机构 (CA) 的证书集。此更新使得 kdelibs 使用 ca-certificates 程序包中的系统设置，而不是自己的副本。(BZ#743951)

用户应升级这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序并添加此增强。必须重新启动（注销，然后再登录）桌面才能使此更新生效。

来自 Red Hat 安全公告 2011:1385：

用于 Red Hat Enterprise Linux 4 和 5 的更新 kdelibs 程序包以及用于 Red Hat Enterprise Linux 6 的更新 kdelibs3 程序包现已可用，它们修复了一个安全问题。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

kdelibs 和 kdelibs3 程序包为 K Desktop Environment (KDE) 提供库。

已在 KSSL（KDE SSL 封装程序）API 中发现输入审查缺陷。攻击者可将特别构建的 SSL 证书（例如通过网页）提供给使用 KSSL 的应用程序，比如 Konqueror Web 浏览器，从而造成向用户呈现误导信息，可能欺骗他们接受这些证书为有效证书。(CVE-2011-3365)

用户应升级这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。必须重新启动（注销，然后再登录）桌面才能使此更新生效。

远程 Redhat Enterprise Linux 4/5/6 主机上安装的程序包受到 RHSA-2011:1385 公告中提及的漏洞影响。

  - kdelibs：KSSL 中发生输入验证失败 (CVE-2011-3365)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

已在 kdelibs4 中发现并修复多种漏洞：

在 kdelibs 中，KDE KSSL 未正确处理 X.509 证书的“使用者备用名称”字段内域名中的“\0”(NUL) 字符，进而允许中间人攻击者通过由合法证书颁发机构所颁发的特别构建证书，伪造任意 SSL 服务器，这是和 CVE-2009-2408 有关的问题 (CVE-2009-2702)。

已在 KSSL（KDE SSL 封装程序）API 中发现输入审查缺陷。攻击者可将特别构建的 SSL 证书（例如通过网页）提供给使用 KSSL 的应用程序，比如 Konqueror Web 浏览器，从而造成向用户呈现误导信息，可能欺骗他们接受这些证书为有效证书 (CVE-2011-3365)。

更新后的程序包已进行修补，以修正这些问题。

KDE 安全公告报告：

QLabel 的默认渲染类型为 QLabel::AutoText，后者使用启发法决定要将指定内容渲染为纯文本还是富文本。KSSL 与 Rekonq 并未正确强制其 QLabel 使用 QLabel::PlainText。因此，如果提供字段中包含富文本的证书，其会渲染富文本。
具体而言，包含具有表格元素的公用名 (CN) 的证书，将造成显示表格的第二行。
这可允许伪造证书的公用名。

KDE 工作区、应用程序与开发平台 4.7.1 缺陷补丁版本，另请参阅：http://kde.org/announcements/announce-4.7.1.php

此批次也包含 kdeedu 相关 rpm 的拆分程序包。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Tim Brown 发现，当显示 SSL 证书的公用名 (CN) 时，KDE-Libs 中的 KSSL 并未正确执行输入验证。攻击者可借此伪造公用名，然后向用户发动攻击，诱骗其接受伪造证书。此问题仅影响 Ubuntu 10.04 LTS 和 Ubuntu 10.10。(CVE-2011-3365)

已发现 KDE-Libs 中的 KIO 在代理服务器认证期间未正确执行输入验证。攻击者可借此修改领域与代理 URL 的显示。

KDE 的 KSSL 中已修复显示证书时的输入验证缺陷 (kdelibs4)。已为此问题分配了 CVE-2011-3365。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2011:1364 公告中提及的漏洞影响。

  - kdelibs：KSSL 中发生输入验证失败 (CVE-2011-3365)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-201412-09 中所述漏洞的影响（在 2011 年修复了多个程序包和多个漏洞）

已在下列程序包中发现漏洞。
 请检查“参考”部分中的 CVE 标识符以了解详细信息。
 FMOD Studio PEAR Mail LVM2 GnuCash xine-lib Last.fm Scrobbler WebKitGTK+ shadow 工具套件 PEAR unixODBC Resource Agents mrouted rsync XML 安全库 xrdb Vino OProfile syslog-ng sFlow 工具包 GNOME Display Manager libsoup CA 证书 Gitolite QtCreator Racer 的影响：

上下文有关的攻击者可获取提升的权限、执行任意代码、导致拒绝服务、获取敏感信息或绕过安全限制。
 变通方案：

目前尚无已知的变通方案。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
56559	CentOS 4 / 5：kdelibs (CESA-2011:1385)	Nessus	CentOS Local Security Checks	2011/10/20	2021/1/4	medium
76305	GLSA-201406-34 : KDE 库：多个漏洞	Nessus	Gentoo Local Security Checks	2014/6/30	2021/1/6	medium
61159	Scientific Linux 安全更新：SL4.x、SL5.x、SL6.x i386/x86_64 中的 kdelibs 和 kdelibs3	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
61152	Scientific Linux 安全更新：SL6.x (i386/x86_64) 中的 kdelibs	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
68368	Oracle Linux 6：kdelibs (ELSA-2011-1364)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
68374	Oracle Linux 4 / 5 / 6：kdelibs / kdelibs3 (ELSA-2011-1385)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
56561	RHEL 4 / 5 / 6：kdelibs 和 kdelibs3 (RHSA-2011:1385)	Nessus	Red Hat Local Security Checks	2011/10/20	2024/4/21	high
56687	Mandriva Linux 安全公告：kdelibs4 （MDVSA-2011:162）	Nessus	Mandriva Local Security Checks	2011/11/2	2021/1/6	high
56587	FreeBSD：kdelibs4、rekonq -- 输入验证失败 (6d21a287-fce0-11e0-a828-00235a5f2c9a)	Nessus	FreeBSD Local Security Checks	2011/10/24	2021/1/6	medium
56386	Fedora 16：PyKDE4-4.7.1-2.fc16 / akonadi-1.6.1-1.fc16 / blinken-4.7.1-2.fc16 / cantor-4.7.1-2.fc16 等 (2011-13417)	Nessus	Fedora Local Security Checks	2011/10/5	2021/1/11	medium
56647	Ubuntu 10.04 LTS / 10.10 / 11.04：kde4libs 漏洞 (USN-1248-1)	Nessus	Ubuntu Local Security Checks	2011/10/26	2019/9/19	medium
75878	openSUSE 安全更新：kdelibs4 (openSUSE-SU-2011:1135-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/14	medium
56463	RHEL 6：kdelibs (RHSA-2011:1364)	Nessus	Red Hat Local Security Checks	2011/10/12	2024/4/21	high
79962	GLSA-201412-09：在 2011 年修复了多个程序包和多个漏洞	Nessus	Gentoo Local Security Checks	2014/12/15	2021/1/6	critical

检测

插件搜索

medium

medium

medium

medium

medium

medium

high

high

medium

medium

medium

medium

high

critical