Debian DLA-1560-1：gnutls28 安全更新

medium Nessus 插件 ID 118504

语言：

简介

远程 Debian 主机缺少安全更新。

描述

GnuTLS 中发现一系列漏洞，可让攻击者对 TLS 连接中特定的密码类型进行明文恢复。CVE-2018-10844 据发现，HMAC-SHA-256 中的 GnuTLS 实现容易受到 Lucky thirteen 式攻击。远程攻击者使用特制的数据包，通过统计分析时序数据利用此缺陷，可能会发动区分攻击和明文恢复攻击。CVE-2018-10845 据发现，HMAC-SHA-384 中的 GnuTLS 实现容易受到 Lucky thirteen 式攻击。远程攻击者使用特制的数据包，通过统计分析时序数据利用此缺陷，可能会发动区分攻击和明文恢复攻击。CVE-2018-10846 GnuTLS 实现中发现基于缓存的边信道，在跨 VM 攻击设置中可能会造成明文恢复。攻击者使用特制的数据包，可利用 ‘Just in Time’ Prime+probe 攻击以及 Lucky-13 攻击相结合恢复明文。对于 Debian 8“Jessie”，这些问题已在 3.3.30-0~deb8u1 版本中修复。由于上游修复侵入性相当大，还要求密码列表调整，因此更可行的方式是更新到最新的上游版本 3.3.x 分支。此方式也更有利于未来的 LTS 更新。本次调整还包含了下列重要的策略调整，详情请参阅 NEWS 文件：- ARCFOUR (RC4) 和 SSL 3.0 不再包含在默认的优先列表中。这两项需要显式启用，例如分别使用“NORMAL:+ARCFOUR-128”或“NORMAL:+VERS-SSL3.0”等字符串。- 使用 HMAC-SHA384 和 SHA256 的密码已从默认的优先字符串中删除。由于这些密码都依赖于旧版的 TLS CBC 区块模式，因此不具有兼容性或其他目的的必要性，和对应的 SHA1 相比也不具有优势。- 严格遵从 RFC5280 建议，对于 2050 年之前的日期使用 UTCTime。- 要求严格的 DER 证书编码、OCSP 请求、私钥、CRL 和证书请求，减少因 BER 规则的复杂性造成的问题。- 拒绝导入包含扩展的 v1 或 v2 证书。添加了新符号，但保留了 API 和 ABI 兼容性。上传的更新中还包含了大量的缺陷修复。有关更多详细信息，请参阅所提供的上游变更日志。我们建议您升级 gnutls28 程序包，并且已经消除了重大缺陷。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

解决方案

升级受影响的程序包。

另见

https://lists.debian.org/debian-lts-announce/2018/10/msg00022.html

https://packages.debian.org/source/jessie/gnutls28

插件详情

严重性: Medium

ID: 118504

文件名: debian_DLA-1560.nasl

版本: 1.6

类型: local

代理: unix

系列: Debian Local Security Checks

发布时间: 2018/10/31

最近更新时间: 2024/7/26

支持的传感器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus

风险信息

VPR

风险因素: Medium

分数: 5.2

CVSS v2

风险因素: Medium

基本分数: 4.3

时间分数: 3.2

矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:N/A:N

CVSS 分数来源: CVE-2018-10845

CVSS v3

风险因素: Medium

基本分数: 5.9

时间分数: 5.2

矢量: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

CPE: p-cpe:/a:debian:debian_linux:libgnutls-deb0-28, p-cpe:/a:debian:debian_linux:libgnutlsxx28, p-cpe:/a:debian:debian_linux:gnutls-doc, p-cpe:/a:debian:debian_linux:libgnutls28-dev, p-cpe:/a:debian:debian_linux:libgnutls-openssl27, p-cpe:/a:debian:debian_linux:guile-gnutls, cpe:/o:debian:debian_linux:8.0, p-cpe:/a:debian:debian_linux:gnutls-bin, p-cpe:/a:debian:debian_linux:libgnutls28-dbg

必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

易利用性: No known exploits are available

补丁发布日期: 2018/10/30

漏洞发布日期: 2018/8/22

参考资料信息

CVE: CVE-2018-10844, CVE-2018-10845, CVE-2018-10846