已在 kdelibs4 中发现并修正了一个漏洞：

在 4.6.1 版之前的 kdelibs 中，KDE KSSL 的 kio/kio/tcpslavebase.cpp 未正确验证服务器主机名是否与 X.509 证书的域名相符，其允许中间人攻击者通过合法 IP 地址证书颁发机构颁发的证书，欺骗任意 SSL 服务器；此漏洞不同于 CVE-2009-2702 (CVE-2011-1094)。

此外，已发现 2009.0 的 kdelibs4 曾使用 ca-bundle.crt 文件的旧私有副本（其中包含根 CA 证书），现在它使用的是 MDVSA-2011:068 公告中提供的最新 /etc/pki/tls/certs/ca-bundle.crt 文件（适用于整个系统），此问题得到解决。

自扩展维护计划起，提供适用于 2009.0 的程序包。请访问此链接以了解更多信息：http://store.mandriva.com/product_info.php?cPath=149products_id=490

更新后的程序包已进行修补，以修正此问题。

检测

Mandriva Linux 安全公告：kdelibs4 （MDVSA-2011:071）

medium Nessus 插件 ID 53350

未找到变更日志