DFN-CERT-2013-0486 Schwachstelle in GnuTLS [Linux][Fedora]

- 06. März 2013

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket gnutls

Betroffene Plattformen:

Fedora 18

Eine Schwachstelle in GnuTLS ermöglicht einem entfernten Angreifer Zugriff
auf die verschlüsselt übertragenen Daten zu erlangen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://dl.fedoraproject.org/pub/fedora/linux/updates/

CVE-2013-1619: Schwachstelle in MinGW-GnuTLS

Die GnuTLS TLS/SSL Encryption Library enthält eine Schwachstelle bei der
Benutzung des Cipher-Block-Chaining (CBC) Modus. In GnuTLS existieren
Unterschiede im Zeitverhalten bei der Verarbeitung von gültigem und
ungültigem CBC-Padding. Dies ermöglicht einem entfernten Angreifer durch das
Senden von präparierten Paketen und dem anschließenden Auswerten der
Reaktionszeiten, Zugriff auf die verschlüsselt übertragenen Daten zu
erlangen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2013-0486/

Das Hersteller Advisory:
http://lists.fedoraproject.org/pipermail/package-announce/2013-March/099678.html

Schwachstelle CVE-2013-1619:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1619