Podatności GnuTLS

Zmienna środowiskowa 'GNUTLS_KEYLOGFILE' w gnutls 3.4.12 pozwala zdalnym atakującym na nadpisywanie i uszkadzanie dowolnych plików w systemie plików.

GnuTLS w wersji 3.5.12 i wcześniejszych jest podatny na dereferencję wskaźnika NULL podczas dekodowania odpowiedzi statusowej w rozszerzeniu TLS z poprawnymi danymi. Może to prowadzić do awarii aplikacji serwera GnuTLS.

GnuTLS przed 20 lutego 2017 roku ma problem z zapisem poza granicami, spowodowany przepełnieniem całkowitym oraz przepełnieniem bufora w pamięci związanym z funkcją cdk_pkt_read w pliku opencdk/read-packet.c. Problem ten jest częścią raportu GNUTLS-SA-2017-3 dostarczonego przez dostawcę i został naprawiony w wersji 3.5.10.

Funkcje odczytu strumieni w lib/opencdk/read-packet.c w GnuTLS przed wersją 3.3.26 oraz 3.5.x przed wersją 3.5.8 umożliwiają zdalnym atakującym spowodowanie odmowy usługi (błąd braku pamięci i awaria) poprzez spreparowany certyfikat OpenPGP.

Funkcja gnutls_ocsp_resp_check_crt w GnuTLS przed wersją 3.4.15 oraz 3.5.x przed wersją 3.5.4 nie weryfikuje długości numeru seryjnego odpowiedzi OCSP, co może umożliwić zdalnym atakującym ominięcie mechanizmu walidacji certyfikatów.

Podatność typu double free w lib/x509/x509_ext.c w GnuTLS przed wersją 3.3.14 umożliwia zdalnym atakującym spowodowanie odmowy usługi lub potencjalnie innych nieokreślonych skutków poprzez spreparowany punkt dystrybucji CRL.

W bibliotece gnutls wykryto błąd use-after-free w funkcji client_send_params w pliku lib/ext/pre_shared_key.c. Może on prowadzić do uszkodzenia pamięci i innych potencjalnych konsekwencji.

W gnutls wykryto błąd use-after-free w kliencie podczas wysyłania rozszerzenia key_share, co może prowadzić do uszkodzenia pamięci i innych konsekwencji.

GnuTLS w wersjach 3.6.x przed 3.6.14 używa nieprawidłowej kryptografii do szyfrowania biletu sesji, co powoduje utratę poufności w TLS 1.2 oraz obejście uwierzytelniania w TLS 1.3. Najwcześniejsza podatna wersja to 3.6.4 (2018-09-24) z powodu błędu w commicie z 2018-09-18. Do pierwszej rotacji klucza serwer TLS zawsze używa błędnych danych zamiast klucza szyfrowania pochodzącego z aplikacji.

Wielokrotne przepełnienia bufora na stercie w funkcji read_attribute w GnuTLS przed wersją 3.3.26 oraz 3.5.x przed wersją 3.5.8 mogą umożliwić zdalnym atakującym wywołanie nieokreślonego wpływu poprzez spreparowany certyfikat OpenPGP.

W funkcji cdk_pk_get_keyid w pliku lib/opencdk/pubkey.c w GnuTLS przed wersją 3.3.26 oraz 3.5.x przed wersją 3.5.8 występuje przepełnienie bufora na stosie. Umożliwia to zdalnym atakującym wywołanie nieokreślonego wpływu poprzez spreparowany certyfikat OpenPGP.

Podatność typu double free w funkcji gnutls_x509_ext_import_proxy w GnuTLS przed wersją 3.3.26 oraz 3.5.x przed wersją 3.5.8 pozwala zdalnym atakującym na wywołanie nieokreślonego wpływu poprzez spreparowane informacje o języku polityki w certyfikacie X.509 z rozszerzeniem Proxy Certificate Information.

Problem w gnutls v3.8.13 powoduje odrzucanie prawidłowych certyfikatów CA, co prowadzi do odmowy usługi (DoS).

Niekompletna implementacja X.509 w GnuTLS v3.8.13 pozwala atakującym kontrolującym podrzędne centrum certyfikacji na ominięcie ograniczeń PKI między domenami i wydawanie nieautoryzowanych certyfikatów.

Problem w gnutls v.3.8.13 pozwala atakującemu uzyskać wrażliwe informacje poprzez nieodrzucanie certyfikatów X.509 typu end-entity, które zawierają sprzeczne kombinacje Key Usage (KU) i Extended Key Usage (EKU).

W bibliotece gnutls w wersji 3.8.13 występuje nieprawidłowa walidacja certyfikatów, co powoduje, że aplikacja akceptuje certyfikaty zawierające nieprawidłowe rozszerzenia.

Niewłaściwa walidacja certyfikatów w gnutls v3.8.13 powoduje, że aplikacja odrzuca prawidłowe certyfikaty dla prawidłowych użytkowników, prowadząc do odmowy usługi (DoS).

Obejście weryfikacji nazwy hosta w GnuTLS v3.8.13 pozwala atakującym obejść mechanizm fallback Common Name i podsłuchiwać komunikację za pomocą spreparowanego certyfikatu.

W GnuTLS funkcja `gnutls_pkcs11_token_set_pin` może prowadzić do podatności use-after-free podczas zmiany PIN-u Security Officer z NULL starym PIN-em dla tokena bez chronionej ścieżki uwierzytelniania.

W bibliotece gnutls wykryto usterkę w sprawdzaniu dopełnienia PKCS#7 podczas deszyfrowania, które nie było wykonywane w czasie stałym. Ta różnica czasowa może pozwolić zdalnemu atakującemu na wyciek informacji o bajtach dopełnienia. Jest to forma ujawnienia informacji.

Błąd off-by-one w gnutls w sprawdzaniu granic elementów worka PKCS#12. Zdalny atakujący może zapisać poza wewnętrzną tablicę worka, gdy zawiera on już 32 elementy, co prowadzi do uszkodzenia pamięci i potencjalnie DoS.

Błąd w gnutls podczas walidacji certyfikatów. Zbyt duże pole Subject Alternative Name (SAN) może spowodować nieprawidłowe sprawdzenie Common Name (CN), co pozwala zdalnemu atakującemu ominąć walidację certyfikatu i przeprowadzić ataki spoofing lub man-in-the-middle.

Podatność w bibliotece gnutls umożliwia zdalnemu atakującemu przedstawienie specjalnie spreparowanego certyfikatu z URI lub SRV w SAN, co może spowodować błędne sprawdzenie nazwy hosta względem CN i umożliwić podszywanie się pod usługi lub przechwytywanie danych.

W bibliotece GnuTLS odkryto usterkę w logice porządkowania pakietów DTLS. Funkcja porównująca, odpowiedzialna za sortowanie pakietów według numerów sekwencyjnych, nieprawidłowo obsługuje pakiety z duplikatami numerów sekwencyjnych. Może to prowadzić do niestabilnego porządkowania pakietów lub niezdefiniowanego zachowania, skutkującego odmową usługi.

W gnutls stwierdzono usterkę, w której dozwolone ograniczenia nazw były błędnie ignorowane, gdy poprzednie urzędy certyfikacji (CA) miały tylko wykluczone ograniczenia nazw. Zdalny atakujący może ominąć krytyczne sprawdzenia ograniczeń nazw podczas walidacji certyfikatu.

W bibliotece GnuTLS wykryto błąd w konfiguracjach RSA-PSK. Serwery błędnie dopasowują nazwy użytkowników zawierające znak NUL do skróconych nazw, co umożliwia zdalnemu atakującemu ominięcie uwierzytelniania poprzez wysłanie specjalnie spreparowanej nazwy użytkownika.

W bibliotece GnuTLS wykryto podatność przepełnienia bufora sterty w logice składania fragmentów uzgadniania DTLS. Problem występuje w funkcji merge_handshake_packet(), która dopasowuje i scala fragmenty na podstawie samego typu uzgadniania, bez weryfikacji spójności pola message_length we wszystkich fragmentach tego samego komunikatu. Atakujący może zdalnie, bez uwierzytelniania, wysłać spreparowane fragmenty DTLS z różnymi wartościami message_length, co prowadzi do zapisu poza przydzielonym buforem.

GnuTLS przeprowadza porównania uwzględniające wielkość liter dla etykiet nameConstraints, co pozwala zdalnemu atakującemu na ominięcie polityki poprzez spreparowanie certyfikatu z różnicami w wielkości liter w Subject Alternative Name.

W bibliotece GnuTLS wykryto błąd logiczny w przetwarzaniu odpowiedzi OCSP składających się z wielu rekordów. Zdalny atakujący może wykorzystać tę podatność podczas uzgadniania TLS, dostarczając spreparowaną odpowiedź OCSP, co może spowodować, że klient z włączoną weryfikacją OCSP błędnie zaakceptuje odwołany certyfikat serwera.

Podatność w GnuTLS podczas parsowania uzgadniania DTLS pozwala na wysłanie nieprawidłowych fragmentów o zerowej długości i niezerowym przesunięciu, co prowadzi do niedomiaru liczby całkowitej podczas składania i odczytu poza zakresem. Problem jest zdalnie wykorzystywalny i może prowadzić do ujawnienia informacji lub odmowy usługi.

W bibliotece GnuTLS wykryto podatność, która pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wysłanie spreparowanej wiadomości ClientHello z nieprawidłową wartością PSK podczas uzgadniania TLS. Prowadzi to do dereferencji wskaźnika NULL i awarii serwera, powodując zdalną odmowę usługi (DoS).

W bibliotece GnuTLS wykryto podatność umożliwiającą atak DoS poprzez wysłanie specjalnie spreparowanych certyfikatów zawierających dużą liczbę ograniczeń nazw i alternatywnych nazw podmiotów (SAN). Atak prowadzi do nadmiernego zużycia procesora i pamięci.

W bibliotece GnuTLS wykryto podatność w funkcji gnutls_pkcs11_token_init() odpowiedzialnej za inicjalizację tokenów PKCS#11. Przetwarzanie etykiety tokena dłuższej niż oczekiwano powoduje zapis poza granicami bufora na stosie, co może prowadzić do awarii aplikacji lub potencjalnie do wykonania kodu.

W bibliotece GnuTLS odkryto usterkę polegającą na dereferencji wskaźnika NULL w funkcji _gnutls_figure_common_ciphersuite().

W bibliotece GnuTLS w narzędziu certtool podczas parsowania plików szablonów wykryto błąd przepełnienia sterty (off-by-one). Atakujący może wykorzystać tę podatność do zapisu wskaźnika NULL poza dozwolonym obszarem pamięci, co prowadzi do uszkodzenia pamięci i odmowy usługi (DoS) mogącej spowodować awarię systemu.

W bibliotece GnuTLS wykryto podatność polegającą na odczycie poza dozwolonym obszarem pamięci sterty podczas przetwarzania rozszerzenia Certificate Transparency (CT) Signed Certificate Timestamp (SCT) w certyfikatach X.509. Problem umożliwia atakującemu stworzenie certyfikatu z nieprawidłowym rozszerzeniem SCT (OID 1.3.6.1.4.1.11129.2.4.2), które może zawierać wrażliwe dane. W rezultacie podczas weryfikacji certyfikatów przez GnuTLS może dojść do ujawnienia poufnych informacji.

W bibliotece GnuTLS wykryto podatność polegającą na podwójnym zwolnieniu pamięci (double-free) w logice eksportu wpisów Subject Alternative Name (SAN) zawierających otherName. Błąd wynika z nieprawidłowego zarządzania własnością węzłów ASN.1, co prowadzi do próby zwolnienia pamięci, która nie należy do bieżącego kontekstu.

GnuTLS korzysta z libtasn1 do przetwarzania danych ASN.1, gdzie nieefektywny algorytm powoduje nadmierne zużycie zasobów przy dekodowaniu niektórych certyfikatów DER. Zdalny atakujący może wysłać spreparowany certyfikat, powodując zawieszenie lub spowolnienie GnuTLS.

W GnuTLS wykryto podatność kryptograficzną Minerva wykorzystującą deterministyczne zachowanie systemu, prowadzącą do wycieków kanałami bocznymi. W określonych scenariuszach, np. przy użyciu flagi GNUTLS_PRIVKEY_FLAG_REPRODUCIBLE, może powodować zauważalną zmianę rozmiaru nonce z 513 na 512 bitów, ujawniając potencjalny kanał czasowy.

W GnuTLS odkryto błąd, który może spowodować awarię aplikacji podczas próby weryfikacji specjalnie spreparowanego pakietu .pem za pomocą polecenia 'certtool --verify-chain'.

W GnuTLS wykryto podatność, w której cockpit (korzystający z GnuTLS) odrzuca łańcuch certyfikatów z rozproszonym zaufaniem. Problem występuje podczas walidacji łańcucha certyfikatów przez cockpit-certificate-ensure.

W GnuTLS odkryto atak typu timing side-channel w obsłudze wiadomości RSA ClientKeyExchange. Side-channel ten może pozwolić na odzyskanie klucza zaszyfrowanego w szyfrogramie RSA w ataku typu Bleichenbacher.

W bibliotece GnuTLS wykryto błąd dereferencji wskaźnika NULL. Funkcje aktualizacji skrótu w Nettle wewnętrznie wywołują memcpy, a przekazanie danych o zerowej długości może prowadzić do niezdefiniowanego zachowania. W rzadkich przypadkach prowadzi to do odmowy usługi po uwierzytelnieniu.

W bibliotece GnuTLS występuje podatność polegająca na błędzie podwójnego zwolnienia pamięci podczas weryfikacji podpisów PKCS7 w funkcji gnutls_pkcs7_verify.

W GnuTLS przed wersją 3.6.15 odkryto problem. Serwer może wywołać dereferencję pustego wskaźnika w kliencie TLS 1.3, jeśli wyśle alert no_renegotiation w nieoczekiwanym momencie, a następnie nastąpi nieprawidłowe drugie uzgadnianie. Awaria występuje w ścieżce obsługi błędów aplikacji, gdzie funkcja gnutls_deinit jest wywoływana po wykryciu niepowodzenia uzgadniania.

GnuTLS 3.6.x przed wersją 3.6.13 używa nieprawidłowej kryptografii dla DTLS. Klient DTLS zawsze używa 32 bajtów zerowych zamiast losowej wartości, co nie wnosi żadnej losowości do negocjacji DTLS. To łamie gwarancje bezpieczeństwa protokołu DTLS.