Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] GnuTLS 3.8.4 opravuje 2 zranitelnosti (Key disclosure + DoS)

GnuTLS - CVE-2024-28834 (Minerva, ECDSA timing side-channel)
CVSS 7.4 (High)

Zranitelnost nazvaná Minerva využívá časový postranní kanál v ECDSA kódu při použití deterministického režimu (GNUTLS_PRIVKEY_FLAG_REPRODUCIBLE) [1], umožňující degradaci velikosti nonce v rámci jedné transakce [2] a rekonstrukci privátního klíče po nasbírání až tisíce podpisů známých zpráv [3]. Dopad: Information exposure Doporučení: Aktualizace na GnuTLS 3.8.4

Zranitelnost se nachází v produktu:

  • GnuTLS;<3.8.4

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

Více informací:

Zranitelnost byla veřejně oznámena 21. 3. 2024.

GnuTLS - CVE-2024-28835 (pád při řetězci > 16)
CVSS 5.0 (Medium)

Odepření služby při validaci řetězce X509 certifikátů s délkou větší než 16 [4]. Podrobnější technické informace a postup reprodukce jsou v lístku [5]. Chyba se nacházela ve funkci gnutls_x509_trust_list_verify_crt2(), byla opravena v rámci změny [6]. Dopad: Denial of service Doporučení: Aktualizace na GnuTLS 3.8.4

Zranitelnost se nachází v produktu:

  • GnuTLS;<3.8.4

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:H

Více informací:

Zranitelnost byla veřejně oznámena 21. 3. 2024.

kryptografická knihovna GnuTLS vyšla ve středu 20.03.2024 ve verzi 3.8.4 opravující dvě zranitelnosti - jednu umožňující únik ECDSA klíče za specifických podmínek a druhou vedoucí k pádu nástroje certtool a potenciálně jiných aplikací využívajících knihovnu pro validaci certifikátů. Podrobné poznámky k vydání jsou v [7].

CESNET, z.s.p.o. dne 25. 3. 2024.

CESNET, z.s.p.o. Logo