Se ha anunciado una vulnerabilidad de desbordamiento de
búfer en la librería GnuTLS que podría permitir a un atacante remoto tomar el
control de los sistemas afectados.
GnuTLS es una
librería de comunicaciones segura que implementa, entre otros protocolos, SSL,
TLS y DTLS.
Recursos afectados
- La libería GnuTLS se
incluye por defecto en diversas distribuciones Linux, incluyendo Red Hat,
Ubuntu o Debian.
- Un gran número de productos
Linux también dependen de ella para el soporte de SSL/TLS.
Detalle e Impacto de la
vulnerabilidad
- La vulnerabilidad, con
CVE-2014-3466, puede permitir a un servidor remoto enviar durante el
establecimiento de la sesión, un valor ID de sesión específicamente
manipulado.
- De esta forma se puede provocar
un desbordamiento de búfer y lograr la ejecución de código arbitrario en
el sistema cliente.
Recomendación
- Para corregir el problema se
han publicado las versiones 3.3.3, 3.2.15 y 3.1.25 de GnuTLS.
- Sin embargo poco después
también se ha lanzado la versión 3.3.4 para corregir otro problema con
hardware de aceleración no relacionado con la seguridad.
Más
información:
- Technical Analysis Of The GnuTLS Hello
Vulnerability http://radare.today/technical-analysis-of-the-gnutls-hello-vulnerability/
- About Security Advisories http://www.gnutls.org/security.html#GNUTLS-SA-2014-3
