阿里云漏洞库

漏洞描述

GnuTLS是一款免费的用于实现SSL、TLS和DTLS协议的安全通信库。

GnuTLS 3.6.13之前的3.6.x版本中存在加密问题漏洞。攻击者可利用该漏洞绕过DTLS协议的安全保护。gnutls3.6.13之前的3.6.x对DTLS使用了不正确的密码。最早受影响的版本是3.6.3（2018-07-16），因为在2017-10-06提交中出现错误。DTLS客户端始终使用32'\0'字节而不是随机值，因此不会对DTLS协商造成随机性。这破坏了DTLS协议的安全保证。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://www.gnutls.org/security-new.html#GNUTLS-SA-2020-03-31

参考链接
http://lists.opensuse.org/opensuse-security-announce/2020-04/msg00015.html
https://gitlab.com/gnutls/gnutls/-/commit/5b595e8e52653f6c5726a4cdd8fddeb6e83804d2
https://gitlab.com/gnutls/gnutls/-/issues/960
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedora...
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedora...
https://security.gentoo.org/glsa/202004-06
https://security.netapp.com/advisory/ntap-20200416-0002/
https://usn.ubuntu.com/4322-1/
https://www.debian.org/security/2020/dsa-4652
https://www.gnutls.org/security-new.html#GNUTLS-SA-2020-03-31

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	gnu	gnutls	*	From (including) 3.6.3	Up to (excluding) 3.6.13

攻击路径

远程
攻击复杂度

困难
权限要求

无需权限
影响范围

有限影响
EXP成熟度

未验证
补丁情况

官方补丁
数据保密性

无影响
数据完整性

无影响
服务器危害

无影响
全网数量

100

CWE-ID	漏洞类型
CWE-327	使用已被攻破或存在风险的密码学算法
CWE-330	使用不充分的随机数

低危 GnuTLS加密问题漏洞

漏洞描述

解决建议

参考链接

受影响软件情况