Závažná bezpečnostní chyba v GnuTLS

Byla nalezena a opravena závažná bezpečnostní chyba v kryptografické knihovně GnuTLS (GNUTLS-SA-2014-3, CVE-2014-3466). Kompromitovaný server může odesláním upravené zprávy ServerHello způsobit na straně klienta přetečení vyrovnávací paměti, a tím pádem odmítnutí služby nebo také spuštění libovolného kódu. Chyba je opravena ve verzích 3.1.25, 3.2.15 a 3.3.4. Detailní analýza bezpečnostní chyby na radare.today.

4.6.2014 17:34 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[little.owl]

Ja asi zacinam byt jiz paranoidni.

Jak se to da lecit?

Ale oni po nas opravdu jdou!

[vencour]

Nebo jdou všichni po všech? A názorný příklad evoluce a soupeření napříč vším?

Náš administrátor shledal tento komentář závadným.

Vulgarity.

Zobrazit komentář

[Max]

Co ti brání v tom napsat zprávičku? Podle toho, co čtu, tak zřejmě by jsi asi neměl na koho plivat. Smutné, ale bouhžel i tací lidé jsou :-/.
Zdar Max

[kavol]

Ať soupeří. Vadí mi spíše, že ten zprávičkář hagara zase vynechal důležitou událost.

Známý zdejší uživatel Salamek se dostal do finále přehlídky nejlepších desktopů na Lzive.cz a je tam v kategorii Linux uveden na druhém místě s tímto dektopem, který předtím publikovat zde na abc .

Gratuluju Salamek, a hagara ať chcípne.

no, neříkám, že to je zrovna vytříbený jazykový projev, ale pod slovem "vulgarity" bych si představil něco jiného ... za chvíli to tu asi dopadne hůř než to django :-/

Láďa je normální chlap, nějaké to popíchnutí unese, ostatně i já jsem mu onehdy za cosi vyčinil a nezdá se mi, že by na mě zanevřel, takže tímhle mu spíš děláte medvědí službu

[Šangala]

IMHO jestli je to Ciri, tak by bylo příhodnější:
„Ať chcípnou všichni zk*rv*s*ni.“ a není to pak ani osobní

[Šangala]

Nedá, dyť to tady melduju, kdekoliv píšu, Mel měl v devadesátémsedmém prostě pravdu…

[jadd]

Gibson?

[little.owl]

Ano.

[j3nda]

jj mel pravdu. a taky si dokazal solidne uklidit kvartyr :D

[toruser]

Ti to udělají třeba i tak, že si koupí exploit.

[Jendа]

Docela bych věřil tomu, že si třeba přesně tento exploit mohli před nějakým tím rokem koupit.

[little.owl]

Jaka muze byt realna cena takoveho exploitu?

[lertimir]

No podle zobrazeného omezení, může být tak cca 100 možných zákazníků na světě.

[little.owl]

Legalnich zakazniku ...

[kavol]

předpokládám, že ty nelegální neuspokojuje právě tato firma, ale jiní podobného ražení ...

[little.owl]

Koukaje jaci kokoti jsou v nasem obchodnim oddeleni, tak by se plno veci deklarovalo jako security review nebo consultation.

[Jendа]

Myslím, že nalezení chyby, vyvinutí a odladění exploitu může trvat klidně člověkorok.

[little.owl]

Prave proto je nutne vedet za kolik je to mozne prodat.

[lertimir]

Tady a tady je to možné trochu odhadovat. A jsou třeba na Pwn2Own

[Jendа]

Jak se předvede exploitnutí se zero-knowledge? Tedy, pokud předvedu exploit na svém počítači, Google řekne, že je to fake. Pokud předvedu exploit na googlím počítači, Google si ho zkopíruje.

[lertimir]

co takhle?

[Jendа]

Jo, ale postavit zero-knowledge pro obecný x86 kód je asi dost hardcore a neviděl jsem, že by to někdo dělal.

[little.owl]

Cas se domluvit s hochama z Red Hat-tu a rozjet to .

[Jendа]

Aha, myslel jsem, že reálnou cenou myslíš právě cenu vývoje, ne prodejní. Tak pak 1 a 2.

[Bedňa]

Vitaj v klube. A čo chytré telefóny, z toho mám fakt paranoju. Na kompe spravím upgrade a chyba je odstránená, ale v telefóne žiadne apt-get, rpm, alebo emerge nemám a je to tam všetko pekne staticky zlinkované. Teda používam len F-Droid a všetky šmírovacie blbosti som z telefónu vyhádzal.

Na jeseň príde nový telefón s Tizen Samsung Z by ma zaujímalo či tam nejaké upgrady pôjdu a bude tam možnosť vyhnúť sa statickému linkovaniu.

[Rezza]

Staticke linkovani je proste pro distribuci 3rd party aplikaci jednodussi, takze jen tak nezemre - hlavne prave v telefonech.

[Bedňa]

Stačilo by mi niečo na štýl F-Droidu, ale linuxovejšie s možnosťou sťahovať si trebárs aj len zdrojaky a spraviť si nightbuilds na servere a budem si to aktualizovať od seba. Hlavne aby bola možnosť vyhnúť sa statickému linkovaniu, to je fakt zlo. Zisťovať stále dookola ktorých aplikácií sa bug týka je otravné a sakra nebezpečné.

Kľudne nech mi nejdú všetky aplikácie, ale tie čo pôjdu nech nad nimi mám kontrolu, to fakt chcem tak veľa :)

[lertimir]

BTW jak jsme na tom s patchem na CVE-2014-1295 nazvaném 3shake. Apple ho patchnul v dubnu a jak je to na linuxovém jádře nějak neumím najít.

[mich]

Teď jsem asi mimo. Jak triple handshake souvisí s linuxovým jádrem?

[lertimir]

No mimo jsem já. Nijak. Ani nevím nač jsem myslel při psaní. Samozřejmě to souvisí s implementací TLS v GnuTLS a openSSL.

[David Watzke]

Pár týdnů zpátky to bylo "haha, ale já to mám zkompilovaný proti gnutls" a teď zas tohle

[petr_p]

Však dnes je to pravda :)

[kralyk z abclinuxu]

Koukám, že sezóna kritických bezpečnostních chyb je stále v plném proudu