Debians sikkerhedsbulletin

DSA-4697-1 gnutls28 -- sikkerhedsopdatering

Rapporteret den:

6. jun 2020

Berørte pakker:

gnutls28

Sårbar:

Referencer i sikkerhedsdatabaser:

I Debians fejlsporingssystem: Fejl 962289.
I Mitres CVE-ordbog: CVE-2020-13777.

Yderligere oplysninger:

En fejl blev rapporteret i TLS-sessionens ticketnøglekonstruktion i GnuTLS, et bibliotek der implementerer protokollerne TLS og SSL. Fejlen forårsagede at TLS-serveren ikke på sikker vis konstruerede en nøgle til kryptering af sessiontickets, som tog højde for den af applikationen leverede hemmelighed, hvilket gjorde det muligt for en manden i midten-angriber at omgå autentifikationen i TLS 1.3 og gendanne tidligere konversationer i TLS 1.2.

I den stabile distribution (buster), er dette problem rettet i version 3.6.7-4+deb10u4.

Vi anbefaler at du opgraderer dine gnutls28-pakker.

For detaljeret sikkerhedsstatus vedrørende gnutls28, se dens sikkerhedssporingsside på: https://security-tracker.debian.org/tracker/gnutls28