Sikkerhedsoplysninger / 2016 / Sikkerhedsoplysninger -- DSA-3437-1 gnutls26

Debians sikkerhedsbulletin

DSA-3437-1 gnutls26 -- sikkerhedsopdatering

Rapporteret den:

9. jan 2016

Berørte pakker:

gnutls26

Sårbar:

Ja

Referencer i sikkerhedsdatabaser:

I Mitres CVE-ordbog: CVE-2015-7575.

Yderligere oplysninger:

Karthikeyan Bhargavan og Gaetan Leurent ved INRIA opdagede en fejl i protokollen TLS 1.2, hvilket kunne muliggøre at MD5-hashfunktionen blev anvendt til signering af ServerKeyExchange- og Client Authentication-pakker under et TLS-handshake. En manden i midten-angriber kunne udnytte fejlen til at gennemføre kollisionsangreb med det formål at udgive sig for at være en TLS-server eller en autentificeret TLS-klient.

Flere oplysninger findes i https://www.mitls.org/pages/attacks/SLOTH

I den gamle stabile distribution (wheezy), er dette problem rettet i version 2.12.20-8+deb7u5.

Vi anbefaler at du opgraderer dine gnutls26-pakker.