gnutls 的更新现在可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。gnutls 程序包提供 GNU 传输层安全 (GnuTLS) 库，可实现诸如 SSL、TLS 和 DTLS 的加密算法和协议。下列程序包已升级到更新的上游版本：gnutls (3.3.26)。(BZ#1378373) 安全修复：* 在 GnuTLS 中使用代理证书信息扩展名解析某个 X.509 证书的方式中发现双重释放缺陷。攻击者可创建特制的证书，在针对 GnuTLS 编译的应用程序处理它时，可能会导致该应用程序崩溃。(CVE-2017-5334) * 在 gnutls 处理 OpenPGP 认证的方式中发现多个缺陷。攻击者会创建特制的 OpenPGP 认证，当由 gnutls 解析时会导致崩溃。(CVE-2017-5335, CVE-2017-5336, CVE-2017-5337, CVE-2017-7869) * 在 GnuTLS 使用 status_request 扩展名处理 ClientHello 消息的方式中发现空指针取消引用缺陷。远程攻击者可利用此缺陷导致使用 GnuTLS 编译的应用程序崩溃。(CVE-2017-7507) * 在 GnuTLS 使用 OCSP 响应验证证书的方式中发现缺陷。在某些情况下，这可能会错误地报告证书有效。(CVE-2016-7444) CVE-2017-7507 问题由 Hubert Kario（Red Hat QE BaseOS 安全团队）发现。其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.4 版本说明。

下列程序包已升级到更新的上游版本：gnutls (2.12.23)。安全修复：- 在连接握手期间，TLS/SSL 协议定义 ALERT 数据包的处理方式中发现拒绝服务缺陷。远程攻击者可利用此缺陷，造成 TLS/SSL 服务器消耗过量 CPU，并无法接受其他客户端的连接。(CVE-2016-8610) - 在 gnutls 处理 OpenPGP 认证的方式中发现多个缺陷。攻击者会创建特制的 OpenPGP 认证，当由 gnutls 解析时会导致崩溃。(CVE-2017-5335, CVE-2017-5336, CVE-2017-5337)

在连接握手期间，TLS/SSL 协议定义 ALERT 数据包的处理方式中发现拒绝服务缺陷。远程攻击者可利用此缺陷，造成 TLS/SSL 服务器消耗过量 CPU，并无法接受其他客户端的连接。(CVE-2016-8610) 在 gnutls 处理 OpenPGP 认证的方式中发现多个缺陷。攻击者会创建特制的 OpenPGP 认证，当由 gnutls 解析时会导致崩溃。(CVE-2017-5335 , CVE-2017-5336 , CVE-2017-5337)

下列程序包已升级到更新的上游版本：gnutls (3.3.26)。安全修复：- 在 GnuTLS 中使用代理证书信息扩展名解析某个 X.509 证书的方式中发现双重释放缺陷。攻击者可创建特制的证书，在针对 GnuTLS 编译的应用程序处理它时，可能会导致该应用程序崩溃。(CVE-2017-5334) - 在 gnutls 处理 OpenPGP 认证的方式中发现多个缺陷。攻击者会创建特制的 OpenPGP 认证，当由 gnutls 解析时会导致崩溃。(CVE-2017-5335, CVE-2017-5336, CVE-2017-5337, CVE-2017-7869) - 在 GnuTLS 使用 status_request 扩展名处理 ClientHello 消息的方式中发现空指针取消引用缺陷。远程攻击者可利用此缺陷导致使用 GnuTLS 编译的应用程序崩溃。(CVE-2017-7507) - 在 GnuTLS 使用 OCSP 响应验证证书的方式中发现缺陷。在某些情况下，这可能会错误地报告证书有效。(CVE-2016-7444)

gnutls 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。gnutls 程序包提供 GNU 传输层安全 (GnuTLS) 库，可实现诸如 SSL、TLS 和 DTLS 的加密算法和协议。下列程序包已升级到更新的上游版本：gnutls (2.12.23)。(BZ#1321112, BZ#1326073, BZ#1415682, BZ#1326389) 安全修复：* 在连接握手期间，TLS/SSL 协议定义 ALERT 数据包的处理方式中发现拒绝服务缺陷。远程攻击者可利用此缺陷，造成 TLS/SSL 服务器消耗过量 CPU，并无法接受其他客户端的连接。(CVE-2016-8610) * 在 gnutls 处理 OpenPGP 认证的方式中发现多个缺陷。攻击者会创建特制的 OpenPGP 认证，当由 gnutls 解析时会导致崩溃。(CVE-2017-5335, CVE-2017-5336, CVE-2017-5337) 其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 6.9 发行说明与 Red Hat Enterprise Linux 6.9 技术札记。

来自 Red Hat 安全公告 2017:0574： gnutls 更新现已可用于 Red Hat Enterprise Linux 6。 Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 gnutls 程序包提供 GNU 传输层安全 (GnuTLS) 库，可实现诸如 SSL、TLS 和 DTLS 的加密算法和协议。 下列程序包已升级到更新的上游版本： gnutls（2.12.23）。(BZ#1321112, BZ#1326073, BZ#1415682, BZ#1326389) 安全补丁： * 在连接握手期间，TLS/SSL 协议定义 ALERT 数据包的处理方式中发现拒绝服务缺陷。远程攻击者可利用此缺陷，造成 TLS/SSL 服务器消耗过量 CPU，并无法接受其他客户端的连接。(CVE-2016-8610) * 在 gnutls 处理 OpenPGP 证书的方式中发现多个缺陷。攻击者会创建特制的 OpenPGP 证书，当由 gnutls 解析时会导致崩溃。 (CVE-2017-5335, CVE-2017-5336, CVE-2017-5337) 更多变更： 如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 6.9 版本说明与 Red Hat Enterprise Linux 6.9 技术札记。

gnutls 的更新现在可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。gnutls 程序包提供 GNU 传输层安全 (GnuTLS) 库，可实现诸如 SSL、TLS 和 DTLS 的加密算法和协议。下列程序包已升级到更新的上游版本：gnutls (2.12.23)。(BZ#1321112, BZ#1326073, BZ#1415682, BZ#1326389) 安全修复：* 在连接握手期间，TLS/SSL 协议定义 ALERT 数据包的处理方式中发现拒绝服务缺陷。远程攻击者可利用此缺陷，造成 TLS/SSL 服务器消耗过量 CPU，并无法接受其他客户端的连接。(CVE-2016-8610) * 在 gnutls 处理 OpenPGP 认证的方式中发现多个缺陷。攻击者会创建特制的 OpenPGP 认证，当由 gnutls 解析时会导致崩溃。(CVE-2017-5335, CVE-2017-5336, CVE-2017-5337) 其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 6.9 版本说明与 Red Hat Enterprise Linux 6.9 技术札记。

为 Slackware 14.0、14.1、14.2 以及当前版本提供了用于修复安全问题的新 gnutls 程序包。

远程主机受到 GLSA-201702-04 中所述漏洞的影响（GnuTLS：多个漏洞）OSS-Fuzz 项目在 GnuTLS 中发现多个堆和堆栈溢出，以及双重释放漏洞。请检查下面引用的 CVE 标识符以了解详细信息。影响：远程攻击者可引诱用户或自动化系统使用链接至 GnuTLS 的应用程序处理特制凭证。这可能允许使用进程的权限执行任意代码，或导致拒绝服务。解决方法：目前无任何已知的解决方法。

来自 Red Hat 安全公告 2017:2292： gnutls 更新现已可用于 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 gnutls 程序包提供 GNU 传输层安全 (GnuTLS) 库，可实现诸如 SSL、TLS 和 DTLS 的加密算法和协议。 下列程序包已升级到更新的上游版本： gnutls (3.3.26)。(BZ#1378373) 安全补丁： * 在 GnuTLS 解析具有代理证书信息扩展名的某些X.509证书的方式中，发现双重释放缺陷。攻击者可创建特制的证书，在针对 GnuTLS 编译的应用程序处理它时，可能会导致该应用程序崩溃。(CVE-2017-5334) * 在 gnutls 处理 OpenPGP 证书的方式中发现多个缺陷。攻击者会创建特制的 OpenPGP 证书，当由 gnutls 解析时会导致崩溃。 (CVE-2017-5335, CVE-2017-5336, CVE-2017-5337, CVE-2017-7869) * 在 GnuTLS 处理具有 status_request 扩展名的 ClientHello 消息的方式中，发现空指针取消引用缺陷。远程攻击者可利用此缺陷导致使用 GnuTLS 编译的应用程序崩溃。(CVE-2017-7507) * 在 GnuTLS 使用 OCSP 响应验证证书的方式中发现缺陷。在某些情况下，这可能会错误地报告证书有效。(CVE-2016-7444) CVE-2017-7507 问题由 Hubert Kario（Red Hat QE BaseOS 安全团队）发现。 更多变更： 如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.4 版本说明。

gnutls 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。gnutls 程序包提供 GNU 传输层安全 (GnuTLS) 库，可实现诸如 SSL、TLS 和 DTLS 的加密算法和协议。下列程序包已升级到更新的上游版本：gnutls (3.3.26)。(BZ#1378373) 安全修复：* 在 GnuTLS 中使用代理证书信息扩展名解析某个 X.509 证书的方式中发现双重释放缺陷。攻击者可创建特制的证书，在针对 GnuTLS 编译的应用程序处理它时，可能会导致该应用程序崩溃。(CVE-2017-5334) * 在 gnutls 处理 OpenPGP 认证的方式中发现多个缺陷。攻击者会创建特制的 OpenPGP 认证，当由 gnutls 解析时会导致崩溃。(CVE-2017-5335, CVE-2017-5336, CVE-2017-5337, CVE-2017-7869) * 在 GnuTLS 使用 status_request 扩展名处理 ClientHello 消息的方式中发现空指针取消引用缺陷。远程攻击者可利用此缺陷导致使用 GnuTLS 编译的应用程序崩溃。(CVE-2017-7507) * 在 GnuTLS 使用 OCSP 响应验证证书的方式中发现缺陷。在某些情况下，这可能会错误地报告证书有效。(CVE-2016-7444) CVE-2017-7507 问题由 Hubert Kario（Red Hat QE BaseOS 安全团队）发现。其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.4 发行说明。

Stefan Buehler 发现 GnuTLS 未能正确验证 OCSP 响应的连续长度。远程攻击者可能利用此问题绕过某些证书验证方式。此问题仅影响 Ubuntu 16.04 LTS。(CVE-2016-7444)

Shi Lei 发现 GnuTLS 未能正确处理某些警告提醒。远程攻击者可能利用此问题造成 GnuTLS 挂起，从而导致拒绝服务。此问题只在 Ubuntu 16.04 LTS 和 Ubuntu 16.10 得到解决。(CVE-2016-8610)

发现 GnuTLS 未能正确解码带有代理认证信息扩展的 X.509 证书。远程攻击者可以利用此问题造成 GnuTLS 崩溃，从而导致拒绝服务或执行任意代码。此问题仅影响 Ubuntu 16.04 LTS 和 Ubuntu 16.10。(CVE-2017-5334)

发现 GnuTLS 未能正确处理某些 OpenPGP 证书。远程攻击者可能利用此问题造成 GnuTLS 崩溃，从而导致拒绝服务或可能执行任意代码。（CVE-2017-5335、CVE-2017-5336、CVE-2017-5337）

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程 OracleVM 系统缺少解决关键安全更新的必要补丁：

  - 升级至 2.12.23 以整合多个 TLS 1.2，修复（#1326389、#1326073、#1323215、#1320982、#1328205、#1321112）

  - 已修改 gnutls-serv 以接受 --sni -hostname (#1333521)

  - 已修改 gnutls-serv，以始终回复警告消息 (#1327656)

  - 已删除对 DSA2 的支持，因其会导致互操作性问题 (#1321112)

  - 允许发送和接收不在签名算法扩展中的证书 (#1328205)

  - 已删除对 EXPORT 加密套件的支持 (#1337460)

  - 将可接受的 DH 最小大小提高至 1024 (#1335924)

  - 已限制握手期间可接收的警告数量 (#1388730)

  - 已添加针对 OpenPGP 解析问题的补丁（CVE-2017-5337、CVE-2017-5336、CVE-2017-5335）

  - 暴露的（但为内部）crypto 后端注册 API 已弃用，且不再运行。ABI 保持兼容 (#1415682)

运行版本 MAIN 4.05 的远程 NewStart CGSL 主机安装有受多个漏洞影响的 gnutls 程序包：- 在 3.3.26 之前和 3.5.8 之前的 3.5.x 中，GnuTLS 中，lib/opencdk/pubkey.c 的 cdk_pk_get_keyid 函数中存在基于堆栈的缓冲区溢出，允许远程攻击者通过构建的 OpenPGP 证书产生不明影响。(CVE-2017-5336) - 在 3.3.26 之前和 3.5.8 之前的 3.5.x 中，GnuTLS 中，在 lib/opencdk/read- packet.c 中的流读取函数，允许远程攻击者通过构建的 OpenPGP 证书造成拒绝服务（内存不足错误和崩溃）。(CVE-2017-5335) - 在 3.3.26 之前和 3.5.8 之前的 3.5.x 中，GnuTLS 中 read_attribute 函数中存在多个基于堆的缓冲区溢出，允许远程攻击者通过构建的 OpenPGP 证书产生不明影响。(CVE-2017-5337) - 在连接握手期间，TLS/SSL 协议定义 ALERT 数据包的处理方式中发现拒绝服务缺陷。远程攻击者可利用此缺陷，造成 TLS/SSL 服务器消耗过量 CPU，并无法接受其他客户端的连接。(CVE-2016-8610) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
102116	RHEL 7 : gnutls (RHSA-2017:2292)	Nessus	Red Hat Local Security Checks	2017/8/2	2021/2/5	critical
99217	Scientific Linux 安全更新：SL6.x i386/x86_64 中的 gnutls	Nessus	Scientific Linux Local Security Checks	2017/4/6	2021/1/14	critical
99419	Amazon Linux AMI：gnutls (ALAS-2017-815)	Nessus	Amazon Linux Local Security Checks	2017/4/18	2018/4/18	critical
102642	Scientific Linux 安全更新：SL7.x x86_64 中的 gnutls	Nessus	Scientific Linux Local Security Checks	2017/8/22	2021/1/14	critical
97951	CentOS 6 : gnutls (CESA-2017:0574)	Nessus	CentOS Local Security Checks	2017/3/27	2021/1/4	high
99063	Oracle Linux 6 : gnutls (ELSA-2017-0574)	Nessus	Oracle Linux Local Security Checks	2017/3/30	2021/1/14	critical
97874	RHEL 6 : gnutls (RHSA-2017:0574)	Nessus	Red Hat Local Security Checks	2017/3/22	2019/10/24	critical
96408	Slackware 14.0 / 14.1 / 14.2 / 当前版本：gnutls (SSA:2017-011-02)	Nessus	Slackware Local Security Checks	2017/1/12	2021/1/14	critical
97110	GLSA-201702-04：GnuTLS：多个漏洞	Nessus	Gentoo Local Security Checks	2017/2/13	2021/1/11	critical
102303	Oracle Linux 7 : gnutls (ELSA-2017-2292)	Nessus	Oracle Linux Local Security Checks	2017/8/9	2021/1/14	critical
102759	CentOS 7 : gnutls (CESA-2017:2292)	Nessus	CentOS Local Security Checks	2017/8/25	2021/1/4	critical
96952	Ubuntu 14.04 LTS / 16.04 LTS：GnuTLS 漏洞 (USN-3183-1)	Nessus	Ubuntu Local Security Checks	2017/2/2	2023/10/20	critical
99081	OracleVM 3.3 / 3.4：gnutls (OVMSA-2017-0054)	Nessus	OracleVM Local Security Checks	2017/3/30	2021/1/4	critical
127344	NewStart CGSL MAIN 4.05：gnutls 多个漏洞 (NS-SA-2019-0109)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2024/5/7	critical

检测

插件搜索

critical

critical

critical

critical

high

critical

critical

critical

critical

critical

critical

critical

critical

critical