gnutls 的更新现在可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。gnutls 程序包提供 GNU 传输层安全 (GnuTLS) 库，可实现诸如 SSL、TLS 和 DTLS 的加密算法和协议。下列程序包已升级到更新的上游版本：gnutls (3.3.26)。(BZ#1378373) 安全修复：* 在 GnuTLS 中使用代理证书信息扩展名解析某个 X.509 证书的方式中发现双重释放缺陷。攻击者可创建特制的证书，在针对 GnuTLS 编译的应用程序处理它时，可能会导致该应用程序崩溃。(CVE-2017-5334) * 在 gnutls 处理 OpenPGP 认证的方式中发现多个缺陷。攻击者会创建特制的 OpenPGP 认证，当由 gnutls 解析时会导致崩溃。(CVE-2017-5335, CVE-2017-5336, CVE-2017-5337, CVE-2017-7869) * 在 GnuTLS 使用 status_request 扩展名处理 ClientHello 消息的方式中发现空指针取消引用缺陷。远程攻击者可利用此缺陷导致使用 GnuTLS 编译的应用程序崩溃。(CVE-2017-7507) * 在 GnuTLS 使用 OCSP 响应验证证书的方式中发现缺陷。在某些情况下，这可能会错误地报告证书有效。(CVE-2016-7444) CVE-2017-7507 问题由 Hubert Kario（Red Hat QE BaseOS 安全团队）发现。其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.4 版本说明。

下列程序包已升级到更新的上游版本：gnutls (3.3.26)。安全修复：- 在 GnuTLS 中使用代理证书信息扩展名解析某个 X.509 证书的方式中发现双重释放缺陷。攻击者可创建特制的证书，在针对 GnuTLS 编译的应用程序处理它时，可能会导致该应用程序崩溃。(CVE-2017-5334) - 在 gnutls 处理 OpenPGP 认证的方式中发现多个缺陷。攻击者会创建特制的 OpenPGP 认证，当由 gnutls 解析时会导致崩溃。(CVE-2017-5335, CVE-2017-5336, CVE-2017-5337, CVE-2017-7869) - 在 GnuTLS 使用 status_request 扩展名处理 ClientHello 消息的方式中发现空指针取消引用缺陷。远程攻击者可利用此缺陷导致使用 GnuTLS 编译的应用程序崩溃。(CVE-2017-7507) - 在 GnuTLS 使用 OCSP 响应验证证书的方式中发现缺陷。在某些情况下，这可能会错误地报告证书有效。(CVE-2016-7444)

远程主机受到 GLSA-201702-04 中所述漏洞的影响（GnuTLS：多个漏洞）OSS-Fuzz 项目在 GnuTLS 中发现多个堆和堆栈溢出，以及双重释放漏洞。请检查下面引用的 CVE 标识符以了解详细信息。影响：远程攻击者可引诱用户或自动化系统使用链接至 GnuTLS 的应用程序处理特制凭证。这可能允许使用进程的权限执行任意代码，或导致拒绝服务。解决方法：目前无任何已知的解决方法。

gnutls 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。gnutls 程序包提供 GNU 传输层安全 (GnuTLS) 库，可实现诸如 SSL、TLS 和 DTLS 的加密算法和协议。下列程序包已升级到更新的上游版本：gnutls (3.3.26)。(BZ#1378373) 安全修复：* 在 GnuTLS 中使用代理证书信息扩展名解析某个 X.509 证书的方式中发现双重释放缺陷。攻击者可创建特制的证书，在针对 GnuTLS 编译的应用程序处理它时，可能会导致该应用程序崩溃。(CVE-2017-5334) * 在 gnutls 处理 OpenPGP 认证的方式中发现多个缺陷。攻击者会创建特制的 OpenPGP 认证，当由 gnutls 解析时会导致崩溃。(CVE-2017-5335, CVE-2017-5336, CVE-2017-5337, CVE-2017-7869) * 在 GnuTLS 使用 status_request 扩展名处理 ClientHello 消息的方式中发现空指针取消引用缺陷。远程攻击者可利用此缺陷导致使用 GnuTLS 编译的应用程序崩溃。(CVE-2017-7507) * 在 GnuTLS 使用 OCSP 响应验证证书的方式中发现缺陷。在某些情况下，这可能会错误地报告证书有效。(CVE-2016-7444) CVE-2017-7507 问题由 Hubert Kario（Red Hat QE BaseOS 安全团队）发现。其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.4 发行说明。

为 Slackware 14.0、14.1、14.2 以及当前版本提供了用于修复安全问题的新 gnutls 程序包。

来自 Red Hat 安全公告 2017:2292： gnutls 更新现已可用于 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 gnutls 程序包提供 GNU 传输层安全 (GnuTLS) 库，可实现诸如 SSL、TLS 和 DTLS 的加密算法和协议。 下列程序包已升级到更新的上游版本： gnutls (3.3.26)。(BZ#1378373) 安全补丁： * 在 GnuTLS 解析具有代理证书信息扩展名的某些X.509证书的方式中，发现双重释放缺陷。攻击者可创建特制的证书，在针对 GnuTLS 编译的应用程序处理它时，可能会导致该应用程序崩溃。(CVE-2017-5334) * 在 gnutls 处理 OpenPGP 证书的方式中发现多个缺陷。攻击者会创建特制的 OpenPGP 证书，当由 gnutls 解析时会导致崩溃。 (CVE-2017-5335, CVE-2017-5336, CVE-2017-5337, CVE-2017-7869) * 在 GnuTLS 处理具有 status_request 扩展名的 ClientHello 消息的方式中，发现空指针取消引用缺陷。远程攻击者可利用此缺陷导致使用 GnuTLS 编译的应用程序崩溃。(CVE-2017-7507) * 在 GnuTLS 使用 OCSP 响应验证证书的方式中发现缺陷。在某些情况下，这可能会错误地报告证书有效。(CVE-2016-7444) CVE-2017-7507 问题由 Hubert Kario（Red Hat QE BaseOS 安全团队）发现。 更多变更： 如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.4 版本说明。

远程iraclelinux 7 主机上存在安装的程序包该程序包受到 AXSA:2017-2203:01 公告中提及的多个漏洞的影响。

    GnuTLS 是一个安全通信库，实现了 SSL、TLS 和 DTLS 协议以及与这些协议相关的技术。它提供了一个简单的 C 语言应用程序编程接口 (API) 来访问安全通信协议以及 API 来解析和写入 X.509、PKCS #12、OpenPGP 和其他所需结构。
    CVE-2016-7444 在低于 3.4.15 和 3.5.43.5.x 之前的 GnuTLS 中lib/x509/ocsp.c 的 gnutls_ocsp_resp_check_crt 函数未验证 OCSP 响应的序列长度这可能允许远程攻击者通过涉及的矢量绕过预期的证书验证机制。 gnutls_malloc 留下的尾部字节。
    CVE-2017-53343.3.26 ] 之前的 GnuTLS和 3.5.83.5.x 之前的 GnuTLS 中的 gnutls_x509_ext_import_proxy 函数存在双重释放漏洞可允许远程攻击者通过具有代理证书信息扩展的 X.509 证书中构建的策略语言信息产生不明影响。
    CVE-2017-5335 在低于 3.3.26 和 3.5.x 之前的 GnuTLS 中lib/opencdk/read-packet.c 中的流读取函数 3.5.8 允许远程攻击者通过构建的 OpenPGP 造成拒绝服务内存不足错误和崩溃。证书。
    CVE-2017-5336 在低于 3.3.26 的GnuTLS 和低于 3.5.x3.5.8 的 GnuTLS 中lib/opencdk/pubkey.c 中的 cdk_pk_get_keyid 函数存在基于堆栈的缓冲区溢出远程攻击者可通过构建的 OpenPGP 证书造成不明影响。
    CVE-2017-5337 在低于 3.3.26 的GnuTLS 和低于 3.5.x3.5.8 的 GnuTLS 中read_attribute 函数存在多个基于堆的缓冲区溢出这使得远程攻击者能够通过构建的 OpenPGP 证书产生不明影响。
    CVE-2017-7507 GnuTLS 版本 3.5.12 和较早版本在解码含有有效内容的状态响应 TLS 扩展时容易受到空指针取消引用的影响。这可导致 GnuTLS 服务器应用程序崩溃。
    CVE-2017-7869 2017 年 2 月 20 日之前的 GnuTLS 存在越界写入此漏洞是由与 opencdk/read-packet.c 中的 cdk_pkt_read 函数相关的整数溢出和基于堆的缓冲区溢出造成的。此问题是供应商 GNUTLS-SA-2017-3 报告的一个子集。已在 3.5.10中修复。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Stefan Buehler 发现 GnuTLS 未能正确验证 OCSP 响应的连续长度。远程攻击者可能利用此问题绕过某些证书验证方式。此问题仅影响 Ubuntu 16.04 LTS。(CVE-2016-7444)

Shi Lei 发现 GnuTLS 未能正确处理某些警告提醒。远程攻击者可能利用此问题造成 GnuTLS 挂起，从而导致拒绝服务。此问题只在 Ubuntu 16.04 LTS 和 Ubuntu 16.10 得到解决。(CVE-2016-8610)

发现 GnuTLS 未能正确解码带有代理认证信息扩展的 X.509 证书。远程攻击者可以利用此问题造成 GnuTLS 崩溃，从而导致拒绝服务或执行任意代码。此问题仅影响 Ubuntu 16.04 LTS 和 Ubuntu 16.10。(CVE-2017-5334)

发现 GnuTLS 未能正确处理某些 OpenPGP 证书。远程攻击者可能利用此问题造成 GnuTLS 崩溃，从而导致拒绝服务或可能执行任意代码。（CVE-2017-5335、CVE-2017-5336、CVE-2017-5337）

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
102116	RHEL 7 : gnutls (RHSA-2017:2292)	Nessus	Red Hat Local Security Checks	2017/8/2	2024/11/5	critical
102642	Scientific Linux 安全更新：SL7.x x86_64 中的 gnutls	Nessus	Scientific Linux Local Security Checks	2017/8/22	2025/11/26	critical
97110	GLSA-201702-04：GnuTLS：多个漏洞	Nessus	Gentoo Local Security Checks	2017/2/13	2026/1/1	critical
102759	CentOS 7 : gnutls (CESA-2017:2292)	Nessus	CentOS Local Security Checks	2017/8/25	2025/11/25	critical
96408	Slackware 14.0 / 14.1 / 14.2 / 当前版本：gnutls (SSA:2017-011-02)	Nessus	Slackware Local Security Checks	2017/1/12	2026/1/6	critical
102303	Oracle Linux 7 : gnutls (ELSA-2017-2292)	Nessus	Oracle Linux Local Security Checks	2017/8/9	2024/11/1	critical
289308	MagicLinux 7gnutls-3.3.26-9.el7 (AXSA:2017-2203:01)	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/16	critical
96952	Ubuntu 14.04 LTS / 16.04 LTS：GnuTLS 漏洞 (USN-3183-1)	Nessus	Ubuntu Local Security Checks	2017/2/2	2025/9/3	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical