GLSA 200808-08: stunnel: Security bypass

http://security.gentoo.org/

Опасность:	низкая
Заголовок:	stunnel: Security bypass
Дата:	08.08.2008
Ошибки:	#222805
ID:	200808-08

Сводка

stunnel does not properly prevent the authentication of a revoked certificate which would be published by OCSP.

Назначение

The stunnel program is designed to work as an SSL encryption wrapper between a remote client and a local or remote server. OCSP (Online Certificate Status Protocol), as described in RFC 2560, is an internet protocol used for obtaining the revocation status of an X.509 digital certificate.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
net-misc/stunnel	< 4.24	>= 4.24	All supported architectures

Описание

An unspecified bug in the OCSP search functionality of stunnel has been discovered.

Воздействие

A remote attacker can use a revoked certificate that would be successfully authenticated by stunnel. This issue only concerns the users who have enabled the OCSP validation in stunnel.

Обход

There is no known workaround at this time.

Решение

All stunnel users should upgrade to the latest version:

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=net-misc/stunnel-4.24"

Ссылки

CVE-2008-2420

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-200808-08.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.