В GnuTLS выявлена и исправлена крайне опасная уязвимость
В процессе аудита кода GnuTLS (свободной реализации протоколов TLS и SSL, предоставляющей приложениям API для обеспечения надежной связи по протоколам транспортного уровня) сотрудниками RedHat была обнаружена критическая уязвимость CVE-2014–0092.
Данная уязвимость схожа с недавно опубликованной уязвимостью в iOS и MacOS, когда из-за одной строчки кода проверка подлинности сертификатов фактически не выполнялась. Уязвимость находится в коде, отвечающем за проверку подлинности сертификатов X.509, и позволяет обойти эту проверку на всех выпусках GnuTLS с помощью специальным образом созданного сертификата. Например, злоумышленник может организовать атаку типа Man-in-the-Middle, а затем использовать поддельный сертификат для перехвата зашифрованного трафика жертвы. Некоторые эксперты по безопасности не исключают даже возможности распространения фальшивых обновлений пакетов в дистрибутивах Linux, поскольку невозможно с уверенностью сказать, не была ли их цифровая подпись подделана.
В одном только Debian библиотеки GnuTLS используются более, чем 350 пакетами. Уязвимости подвержены даже такие библиотеки, как libcrypt, libmailutils и cURL, которые тоже завязаны на GnuTLS, и используются для обновления других пакетов и работы почтовых приложений. Проблема усугубляется тем, что по лицензионным соображениям Debian и Ubuntu используют GnuTLS вместо OpenSSL, поэтом проблема затрагивает уже установленные Nginx, Apache и приложения VPN.
gnutls, ssl, уязвимость
