GLSA 200910-01: Wget: Certificate validation error

http://security.gentoo.org/

Опасность:	средняя
Заголовок:	Wget: Certificate validation error
Дата:	20.10.2009
Ошибки:	#286058
ID:	200910-01

Сводка

An error in the X.509 certificate handling of Wget might enable remote attackers to conduct man-in-the-middle attacks.

Назначение

GNU Wget is a free software package for retrieving files using HTTP, HTTPS and FTP, the most widely-used Internet protocols.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
net-misc/wget	< 1.12	>= 1.12	All supported architectures

Описание

The vendor reported that Wget does not properly handle Common Name (CN) fields in X.509 certificates that contain an ASCII NUL (\0) character. Specifically, the processing of such fields is stopped at the first occurrence of a NUL character. This type of vulnerability was recently discovered by Dan Kaminsky and Moxie Marlinspike.

Воздействие

A remote attacker might employ a specially crafted X.509 certificate, containing a NUL character in the Common Name field to conduct man-in-the-middle attacks on SSL connections made using Wget.

Обход

There is no known workaround at this time.

Решение

All Wget users should upgrade to the latest version:

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=net-misc/wget-1.12"

Ссылки

CVE-2009-3490

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-200910-01.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.