gnutls 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。gnutls 程序包提供 GNU 传输层安全 (GnuTLS) 库，可实现诸如 SSL、TLS 和 DTLS 的加密算法和协议。下列程序包已升级到更新的上游版本：gnutls (3.3.29)。(BZ#1561481) 安全修复：* gnutls：由于没有足够的虚拟函数调用，HMAC-SHA-256 易受到 Lucky thirteen 攻击 (CVE-2018-10844) * gnutls：由于错误常数的使用，HMAC-SHA-384 易受到 Lucky thirteen 攻击 (CVE-2018-10845) * gnutls：基于 'Just in Time' PRIME + PROBE 缓存的侧信道攻击可导致明文恢复 (CVE-2018-10846) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.6 发行说明。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 据发现，HMAC-SHA-384 中的 GnuTLS 实现容易受到 Lucky thirteen 式攻击。远程攻击者可利用此缺陷，通过使用构建的数据包的时序数据统计分析，发动区分攻击和明文恢复攻击。 (CVE-2018-10845)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

インストールされているgnutlsパッケージのバージョンによると、リモートホストにインストールされているEulerOSは次の脆弱性の影響を受けます。- GnuTLSによるHMAC-SHA-384の実装はLucky Thirteen型の攻撃に対して脆弱であることがわかりました。リモートの攻撃者がこの欠陥を悪用し、細工されたパケットを使用してタイミングデータを統計的に分析することにより、識別攻撃とプレーンテキスト回復攻撃を実行する可能性があります。（CVE-2018-10845）注意：Tenable Network Securityは、前述の記述ブロックをEulerOSセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

セキュリティ修正プログラム:

  - gnutls: 仮の関数呼び出しが不十分であるため、HMAC-SHA-256はLucky thirteen攻撃に対して脆弱です。（CVE-2018-10844）

  - gnutls:  誤った定数の使用のため、HMAC-SHA-384はLucky thirteen攻撃に対して脆弱です。（CVE-2018-10845）

  - gnutls: キャッシュベースのサイドチャネル攻撃である「ジャストインタイム」のPRIME+PROBEにより、平文が復元される可能性があります（CVE-2018-10846）

gnutlsの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。gnutlsパッケージには、SSL、TLS、DTLSなどの暗号アルゴリズムとプロトコルを実装するGnuTLS（GNU Transport Layer Security）が含まれています。次のパッケージが新しいUpstreamバージョンにアップグレードされました：gnutls（3.3.29）（BZ#1561481）セキュリティ修正プログラム：* gnutls：仮の関数呼び出しが不十分であるため、HMAC-SHA-256はLucky thirteen攻撃に対して脆弱です。（CVE-2018-10844）* gnutls：誤った定数の使用のため、HMAC-SHA-384はLucky thirteen攻撃に対して脆弱です。（CVE-2018-10845）* gnutls：キャッシュベースのサイドチャネル攻撃である「ジャストインタイム」のPRIME+PROBEにより、平文が復元される可能性があります。（CVE-2018-10846）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。追加の変更：このリリースの変更に関する詳細については、「参照」セクションにリンクされている『Red Hat Enterprise Linux 7.6リリースノート』を参照してください。

このgnutlsの更新では、次の問題を修正します：

このgnutlsの更新では、次の問題を修正します：

修正されたセキュリティ問題：

Lucky 13クラスの攻撃に対する緩和策が改善されました

キャッシュベースのサイドチャネル攻撃である「ジャストインタイム」のPRIME+PROBEにより、平文が復元される可能性があります（CVE-2018-10846、bsc#1105460）

誤った定数の使用のため、HMAC-SHA-384はLucky thirteen攻撃に対して脆弱です。（CVE-2018-10845、bsc#1105459）

仮の関数呼び出しが不十分であるため、HMAC-SHA-256はLucky thirteen攻撃に対して脆弱です。（CVE-2018-10844、bsc#1105437）

Libtasn1の_asn1_check_identifier関数が、NULLポインターデリファレンスとクラッシュを引き起こしました（CVE-2017-10790、bsc#1047002）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

https://lists.gnupg.org/pipermail/gnutls-help/2020-March/004642.html

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - HMAC-SHA-384 の GnuTLS 実装が、Lucky sirteen スタイルの攻撃に対して脆弱であることが判明しました。リモートの攻撃者がこの欠陥を悪用し、細工されたパケットを使用してタイミングデータを統計的に分析することで、識別攻撃と平文回復攻撃を実行する可能性があります。 （CVE-2018-10845）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Security Fix(es) :

  - gnutls: HMAC-SHA-256 vulnerable to Lucky thirteen attack     due to not enough dummy function calls (CVE-2018-10844)

  - gnutls: HMAC-SHA-384 vulnerable to Lucky thirteen attack     due to use of wrong constant (CVE-2018-10845)

  - gnutls: 'Just in Time' PRIME + PROBE cache-based side     channel attack can lead to plaintext recovery     (CVE-2018-10846)

According to the version of the gnutls packages installed, the EulerOS installation on the remote host is affected by the following vulnerability :

  - It was found that GnuTLS's implementation of     HMAC-SHA-384 was vulnerable to a Lucky Thirteen-style     attack. A remote attacker could use this flaw to     conduct distinguishing attacks and plain text recovery     attacks via statistical analysis of timing data using     crafted packets.(CVE-2018-10845)

Note that Tenable Network Security has extracted the preceding description block directly from the EulerOS security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

According to the versions of the gnutls packages installed, the EulerOS Virtualization for ARM 64 installation on the remote host is affected by the following vulnerabilities :

  - It was found that the GnuTLS implementation of     HMAC-SHA-384 was vulnerable to a Lucky thirteen style     attack. Remote attackers could use this flaw to conduct     distinguishing attacks and plain text recovery attacks     via statistical analysis of timing data using crafted     packets.(CVE-2018-10845)

  - It was found that the GnuTLS implementation of     HMAC-SHA-256 was vulnerable to a Lucky thirteen style     attack. Remote attackers could use this flaw to conduct     distinguishing attacks and plaintext-recovery attacks     via statistical analysis of timing data using crafted     packets.(CVE-2018-10844)

  - A flaw was found in the way TLS 1.2 could use the MD5     hash function for signing ServerKeyExchange and Client     Authentication packets during a TLS handshake. A     man-in-the-middle attacker able to force a TLS     connection to use the MD5 hash function could use this     flaw to conduct collision attacks to impersonate a TLS     server or an authenticated TLS client.(CVE-2015-7575)

Note that Tenable Network Security has extracted the preceding description block directly from the EulerOS security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

https://lists.gnupg.org/pipermail/gnutls-help/2020-March/004642.html

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

This update for gnutls fixes the following issues :

This update for gnutls fixes the following issues :

Security issues fixed :

Improved mitigations against Lucky 13 class of attacks

'Just in Time' PRIME + PROBE cache-based side channel attack can lead to plaintext recovery (CVE-2018-10846, bsc#1105460)

HMAC-SHA-384 vulnerable to Lucky thirteen attack due to use of wrong constant (CVE-2018-10845, bsc#1105459)

HMAC-SHA-256 vulnerable to Lucky thirteen attack due to not enough dummy function calls (CVE-2018-10844, bsc#1105437)

The _asn1_check_identifier function in Libtasn1 caused a NULL pointer dereference and crash (CVE-2017-10790, bsc#1047002)

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

An update for gnutls is now available for Red Hat Enterprise Linux 7.

Red Hat Product Security has rated this update as having a security impact of Moderate. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

The gnutls packages provide the GNU Transport Layer Security (GnuTLS) library, which implements cryptographic algorithms and protocols such as SSL, TLS, and DTLS.

The following packages have been upgraded to a later upstream version:
gnutls (3.3.29). (BZ#1561481)

Security Fix(es) :

* gnutls: HMAC-SHA-256 vulnerable to Lucky thirteen attack due to not enough dummy function calls (CVE-2018-10844)

* gnutls: HMAC-SHA-384 vulnerable to Lucky thirteen attack due to use of wrong constant (CVE-2018-10845)

* gnutls: 'Just in Time' PRIME + PROBE cache-based side channel attack can lead to plaintext recovery (CVE-2018-10846)

For more details about the security issue(s), including the impact, a CVSS score, and other related information, refer to the CVE page(s) listed in the References section.

Additional Changes :

For detailed information on changes in this release, see the Red Hat Enterprise Linux 7.6 Release Notes linked from the References section.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - It was found that the GnuTLS implementation of HMAC-SHA-384 was vulnerable to a Lucky thirteen style     attack. Remote attackers could use this flaw to conduct distinguishing attacks and plain text recovery     attacks via statistical analysis of timing data using crafted packets. (CVE-2018-10845)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
119690	CentOS 7 : gnutls (CESA-2018:3050)	Nessus	CentOS Local Security Checks	2018/12/17	2024/7/16	medium
221704	Linux Distros 未修补的漏洞: CVE-2018-10845	Nessus	Misc.	2025/3/4	2025/8/22	medium
123586	EulerOS 2.0 SP2：gnutls（EulerOS-SA-2019-1112）	Nessus	Huawei Local Security Checks	2019/4/2	2024/6/6	medium
119184	Scientific Linux セキュリティ更新: SL7.x x86_64のGgnutls（20181030）	Nessus	Scientific Linux Local Security Checks	2018/11/27	2024/7/18	medium
119690	CentOS 7：gnutls（CESA-2018:3050）	Nessus	CentOS Local Security Checks	2018/12/17	2024/7/16	medium
117696	SUSE SLES12セキュリティ更新プログラム：gnutls（SUSE-SU-2018:2825-1）	Nessus	SuSE Local Security Checks	2018/9/25	2024/8/5	medium
136416	Fedora 31：mingw-gnutls（2020-d14280a6e8）	Nessus	Fedora Local Security Checks	2020/5/8	2024/3/13	high
221704	Linux Distros のパッチ未適用の脆弱性: CVE-2018-10845	Nessus	Misc.	2025/3/4	2025/8/22	medium
119184	Scientific Linux Security Update : gnutls on SL7.x x86_64 (20181030)	Nessus	Scientific Linux Local Security Checks	2018/11/27	2024/7/18	medium
123586	EulerOS 2.0 SP2 : gnutls (EulerOS-SA-2019-1112)	Nessus	Huawei Local Security Checks	2019/4/2	2024/6/6	medium
124891	EulerOS Virtualization for ARM 64 3.0.1.0 : gnutls (EulerOS-SA-2019-1388)	Nessus	Huawei Local Security Checks	2019/5/14	2021/2/9	medium
136416	Fedora 31 : mingw-gnutls (2020-d14280a6e8)	Nessus	Fedora Local Security Checks	2020/5/8	2024/3/13	high
117696	SUSE SLES12 Security Update : gnutls (SUSE-SU-2018:2825-1)	Nessus	SuSE Local Security Checks	2018/9/25	2024/8/5	medium
119690	CentOS 7 : gnutls (CESA-2018:3050)	Nessus	CentOS Local Security Checks	2018/12/17	2024/7/16	medium
221704	Linux Distros Unpatched Vulnerability : CVE-2018-10845	Nessus	Misc.	2025/3/4	2025/8/22	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

high

medium

medium

medium

medium

high

medium

medium

medium