DFN-CERT-2013-1002 Schwachstelle in GnuTLS [Linux][Debian]

- 30. Mai 2013

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket gnutls26 in Debian GNU/Linux 7.0 (wheezy) vor Version 2.12.20-7
Paket gnutls26 in Debian GNU/Linux unstable (sid) vor Version 2.12.23-5

Betroffene Plattformen:

Debian GNU/Linux 7.0 (wheezy)
Debian GNU/Linux unstable (sid)

Eine Schwachstelle in GnuTLS erlaubt einem entfernten Angreifer einen
Denial-of-Service-Angriff gegen den Dienst durchzuführen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://security.debian.org/pool/updates/main/

CVE-2013-2116: Schwachstelle in GnuTLS

In GnuTLS existiert ein Fehler in der Funktion
_gnutls_ciphertext2compressed(), der zu einem Zugriff auf Speicher außerhalb
der Puffergrenzen (out-of-bound) führt, da der zurückgegebene Wert für die
Padding-Bytes nicht mit der Länge des Chiffretext verglichen wird. Einem
entfernten Angreifer ist es dadurch möglich, den GnuTLS-Dienst zum Absturz
zu bringen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2013-1002/

Das Hersteller Advisory:
http://www.debian.org/security/2013/dsa-2697

Schwachstelle CVE-2013-2116:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-2116