Обнаружена ошибка в криптобиблиотеке GnuTLS

В одной из наиболее популярных криптобиблиотек GnuTLS обнаружена ошибка, которая позволяет изготовить фальшивый сертификат, который успешно пройдёт процедуру верификации. Ошибка связана с некорректной реализации проверки сертификатов в формате X.509.

Собственно, именно эту ошибку устранила Apple в своём исправлении от 21 февраля, которая уже эксплуатировалась злоумышленниками. Однако сама криптобиблиотека присутствует в порядка 350 пакетах программного обеспечения, в топ числе в составе дистрибутивов Red Hat, Debian и Ubuntu всех версий, а также входит в состав OpenPGP и OpenSSL. Таким образом, где именно может сработать фальшивый сертификат сейчас уже даже и не понятно.

Для разработчиков выпущены инструкции по переходу на последние версии GnuTLS 3.2.12 или 3.1.22, а также можно просто установить соответствующее обновление, которое устранит ошибку, однако сами пользователи исправить ошибку не могут - стоит устанавливать все обновления от производителей свободно распространяемых продуктов, а также с подозрением относиться даже к якобы корректным сертификатам.

Оцените материал:
Total votes: 179
Поделиться:
 
 
Комментарии в Facebook
 

Вы сообщаете об ошибке в следующем тексте:
Нажмите кнопку «Сообщить об ошибке», чтобы отправить сообщение. Вы также можете добавить комментарий.