更新后的 kdelibs 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

kdelibs 程序包为 K Desktop Environment (KDE) 提供库。

在 KDE 应用程序（例如 Konqueror Web 浏览器）使用的 HTML 布局引擎 KHTML 显示特定错误页面的方式中发现一个跨站脚本 (XSS) 缺陷。远程攻击者可利用此缺陷，通过诱骗受害者访问特别构建的 URL，对受害者执行跨站脚本攻击。(CVE-2011-1168)

在 kdelibs 对照服务器的 SSL 证书中的名称检查用户指定的主机名的方式中发现一个缺陷。如果证书是针对用户指定的主机名解析至的 IP 地址而颁发，中间人攻击者可利用此缺陷欺骗使用 kdelibs 的应用程序错误地接受证书，认为该证书对主机有效。(CVE-2011-1094)

注意：作为 CVE-2011-1094 补丁的一部分，此更新还针对服务器的 SSL 证书中使用的通配符引入了更严格的处理。

用户应升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动（注销，然后再登录）桌面才能使此更新生效。

已发现为 IP 地址发放证书时，KDE KSSL 未正确验证 X.509 证书。攻击者可利用此问题执行中间人攻击以查看敏感信息或修改加密通信。
(CVE-2011-1094)

Tim Brown 发现，KDE KHTML 未从外部产生的错误页面正确转义 URL。攻击者可利用此问题进行跨站脚本攻击。存在跨站脚本漏洞时，如果用户受到诱骗在构建的服务器请求期间查看服务器输出，则远程攻击者可利用此漏洞在同一域中修改内容，或窃取机密数据（例如密码）。(CVE-2011-1168)。

已在 kdelibs4 中发现并修正了一个漏洞：

在 4.6.1 版之前的 kdelibs 中，KDE KSSL 的 kio/kio/tcpslavebase.cpp 未正确验证服务器主机名是否与 X.509 证书的域名相符，其允许中间人攻击者通过合法 IP 地址证书颁发机构颁发的证书，欺骗任意 SSL 服务器；此漏洞不同于 CVE-2009-2702 (CVE-2011-1094)。

此外，已发现 2009.0 的 kdelibs4 曾使用 ca-bundle.crt 文件的旧私有副本（其中包含根 CA 证书），现在它使用的是 MDVSA-2011:068 公告中提供的最新 /etc/pki/tls/certs/ca-bundle.crt 文件（适用于整个系统），此问题得到解决。

自扩展维护计划起，提供适用于 2009.0 的程序包。请访问此链接以了解更多信息：http://store.mandriva.com/product_info.php?cPath=149products_id=490

更新后的程序包已进行修补，以修正此问题。

如果证书是针对 IP 地址颁发的，则 KSSL 不能正确验证该证书的主机名 (CVE-2011-1094)。

在 KDE 应用程序（例如 Konqueror Web 浏览器）使用的 HTML 布局引擎 KHTML 显示特定错误页面的方式中发现一个跨站脚本 (XSS) 缺陷。远程攻击者可利用此缺陷，通过诱骗受害者访问特别构建的 URL，对受害者执行跨站脚本攻击。(CVE-2011-1168)

在 kdelibs 对照服务器的 SSL 证书中的名称检查用户指定的主机名的方式中发现一个缺陷。如果证书是针对用户指定的主机名解析至的 IP 地址而颁发，中间人攻击者可利用此缺陷欺骗使用 kdelibs 的应用程序错误地接受证书，认为该证书对主机有效。(CVE-2011-1094)

注意：作为 CVE-2011-1094 补丁的一部分，此更新还针对服务器的 SSL 证书中使用的通配符引入了更严格的处理。

必须重新启动（注销，然后再登录）桌面才能使此更新生效。

如果证书是针对 IP 地址颁发的，则 KSSL 不能正确验证该证书的主机名 (CVE-2011-1094)。此问题已得到修复。

来自 Red Hat 安全公告 2011:0464：

更新后的 kdelibs 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

kdelibs 程序包为 K Desktop Environment (KDE) 提供库。

在 KDE 应用程序（例如 Konqueror Web 浏览器）使用的 HTML 布局引擎 KHTML 显示特定错误页面的方式中发现一个跨站脚本 (XSS) 缺陷。远程攻击者可利用此缺陷，通过诱骗受害者访问特别构建的 URL，对受害者执行跨站脚本攻击。(CVE-2011-1168)

在 kdelibs 对照服务器的 SSL 证书中的名称检查用户指定的主机名的方式中发现一个缺陷。如果证书是针对用户指定的主机名解析至的 IP 地址而颁发，中间人攻击者可利用此缺陷欺骗使用 kdelibs 的应用程序错误地接受证书，认为该证书对主机有效。(CVE-2011-1094)

注意：作为 CVE-2011-1094 补丁的一部分，此更新还针对服务器的 SSL 证书中使用的通配符引入了更严格的处理。

用户应升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动（注销，然后再登录）桌面才能使此更新生效。

远程主机受到 GLSA-201406-34 中所述漏洞的影响（KDE 库：多个漏洞）

    已在 KDE 库中发现多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    远程攻击者可通过由合法证书颁发机构颁发的任何证书造成中间人攻击。此外，本地攻击者可通过信息泄漏获知用户密码。
  变通方案：

    目前无任何已知的变通方案。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
53525	RHEL 6：kdelibs (RHSA-2011:0464)	Nessus	Red Hat Local Security Checks	2011/4/22	2024/11/4	medium
55068	Ubuntu 9.10/10.04 LTS/10.10：kde4libs 漏洞 (USN-1110-1)	Nessus	Ubuntu Local Security Checks	2011/6/13	2019/9/19	medium
53350	Mandriva Linux 安全公告：kdelibs4 （MDVSA-2011:071）	Nessus	Mandriva Local Security Checks	2011/4/11	2021/1/6	medium
53738	openSUSE 安全更新：kdelibs4 (openSUSE-SU-2011:0280-1)	Nessus	SuSE Local Security Checks	2011/5/5	2021/1/14	medium
75545	openSUSE 安全更新：kdelibs4 (openSUSE-SU-2011:0281-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/14	medium
75876	openSUSE 安全更新：kdelibs4 (openSUSE-SU-2011:0281-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/14	medium
61023	Scientific Linux 安全更新：SL6.x (i386/x86_64) 中的 kdelibs	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
53284	SuSE 11.1 安全更新：kdelibs4（SAT 修补程序编号 4217）	Nessus	SuSE Local Security Checks	2011/4/4	2021/1/19	medium
68259	Oracle Linux 6：kdelibs (ELSA-2011-0464)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	medium
76305	GLSA-201406-34 : KDE 库：多个漏洞	Nessus	Gentoo Local Security Checks	2014/6/30	2021/1/6	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium