Abo
  • Services:
Anzeige
Auch bei GnuTLS heißt es: "goto fail".
Auch bei GnuTLS heißt es: "goto fail". (Bild: Screenshot Gitorious)

GnuTLS: Fehlerhafte Zertifikate akzeptiert

In der Verschlüsselungsbibliothek GnuTLS ist ein Fehler gefunden worden, der dazu führen kann, dass bösartige, gefälschte Zertifikate akzeptiert werden. Ähnlich wie bei der kürzlich bei Apple entdeckten Lücke spielt ein "goto fail" eine Rolle.

Anzeige

Die Entwickler der Verschlüsselungsbibliothek GnuTLS berichten über eine Sicherheitslücke, die dazu führen kann, dass gefälschte Zertifikate akzeptiert werden. Die Sicherheitslücke, die mit der ID CVE-2014-0092 bezeichnet wird, wurde bei einem Audit für die Linux-Distribution Red Hat entdeckt.

Ein Blick auf den geänderten Code erinnert an die als "goto fail" bekanntgewordene Sicherheitslücke, die kürzlich in Apple-Produkten entdeckt wurde. Der fehlerhafte C-Code von GnuTLS führt in bestimmten Situationen, wenn Prüfungen der Struktur des Zertifikats fehlschlagen, einen Befehl "goto cleanup" aus. Anschließend wird die Funktion beendet und es sieht für den weiteren Programmverlauf so aus, als sei das Zertifikat gültig. Ein Angreifer könnte ein Zertifikat erstellen, in dem an den entsprechenden Stellen Fehler sind. Ein solches bösartiges Zertifikat würde GnuTLS als gültig anerkennen. Korrekt wäre ein "goto fail", denn dann wird ein entsprechender Fehlercode gesetzt.

Die GnuTLS-Entwickler haben die Versionen 3.2.12 und 3.1.22 herausgegeben, in denen das Problem behoben ist. Für die ältere Version 2, die noch in manchen Linux-Distributionen zum Einsatz kommt, gibt es bislang kein Update, jedoch steht ein Patch hierfür bereit.

GnuTLS ist eine unter der LGPL stehende Bibliothek für TLS-Verbindungen und wird vor allem unter Linux genutzt. Verwendet wird GnuTLS überwiegend von kleineren Tools; Browser und Webserver setzen meist entweder auf OpenSSL oder NSS. Für Debian, Ubuntu und Red Hat steht bereits ein Update zur Verfügung.


eye home zur Startseite
pu_king81 06. Mär 2014

Also ich habe hier z.B.: - gnutls-bin - libgnutls* (viele verschiedene Pakete...

violator 05. Mär 2014

Bei ClosedSource ist das aber relativ schwierig. Bei OpenSource ist das so als wenn du...

M.P. 05. Mär 2014

Wobei der Codeschnipsel aus dem Artikel schon sehr nach Fehlerbehandlung aussieht... OT...

chrulri 04. Mär 2014

Jup :-)

Granini 04. Mär 2014

OK, das mit dem nichtssagenden "fail" sehe ich doch nicht mehr so. Vermutlich ist das...



Anzeige

Stellenmarkt
  1. ORDIX AG, Köln, Düsseldorf
  2. KPMG AG Wirtschaftsprüfungsgesellschaft, Frankfurt am Main, München, Düsseldorf
  3. DATAGROUP Köln GmbH, Düsseldorf
  4. Bechtle Onsite Services GmbH, deutschlandweit


Anzeige
Blu-ray-Angebote
  1. Einzelne Folge für 2,99€ oder ganze Staffel für 19,99€ kaufen (Amazon Video)
  2. 24,99€ (Vorbesteller-Preisgarantie)

Folgen Sie uns
       


  1. FixFifa

    Fans von Fifa 18 drohen mit Boykott

  2. Samsung

    Erste Details zum Galaxy S9

  3. Cyber Monday

    Streiks an drei Amazon-Standorten

  4. Echo Show vs. Fire HD 10 im Test

    Alexa, zeig's mir!

  5. Apple

    Teure Lederhülle für iPhone X deckt Mikrofon ab

  6. Notruf

    Siri ruft unnötig die Feuerwehr

  7. Netzneutralität

    US-Behörde FCC will Internetprovidern alles erlauben

  8. Fraunhofer Fokus

    Metaminer soll datensammelnde Apps aufdecken

  9. Onlinehandel

    Bundesgerichtshof greift Paypal-Käuferschutz an

  10. Verbraucherschutz

    Sportuhr-Hersteller gehen unsportlich mit Daten um



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Fire TV (2017) im Test: Das Streaminggerät, das kaum einer braucht
Fire TV (2017) im Test
Das Streaminggerät, das kaum einer braucht
  1. Neuer Fire TV Amazons Streaming-Gerät bietet HDR für 80 Euro
  2. Streaming Update für Fire TV bringt Lupenfunktion
  3. Streaming Amazon will Fire TV und Echo Dot vereinen

Oneplus 5T im Test: Praktische Änderungen ohne Preiserhöhung
Oneplus 5T im Test
Praktische Änderungen ohne Preiserhöhung
  1. Smartphone Neues Oneplus 5T kostet weiterhin 500 Euro
  2. Sicherheitsrisiko Oneplus-Smartphones kommen mit eingebautem Root-Zugang
  3. Smartphone-Hersteller Oneplus will Datensammlung einschränken

Universal Paperclips: Mit ein paar Sexdezillionen Büroklammern die Welt erobern
Universal Paperclips
Mit ein paar Sexdezillionen Büroklammern die Welt erobern
  1. Disney Marvel Heroes wird geschlossen
  2. Starcraft 2 Blizzard lästert über Pay-to-Win in Star Wars Battlefront 2
  3. Free to Play World of Tanks bringt pro Nutzer und Monat 3,30 Dollar ein

  1. Re: Mehr als 640 Kilobyte Speicher braucht kein...

    neocron | 10:27

  2. Re: Lootboxen der 90er und 2000er

    daviedave | 10:27

  3. Re: komisch demokratie

    Menplant | 10:26

  4. Re: Alles nur Image, Konzept hier, Studie da

    thinksimple | 10:24

  5. Re: Solche Lootboxen gibt es doch schon ewig....

    Shoopi | 10:24


  1. 10:39

  2. 10:30

  3. 10:20

  4. 08:55

  5. 07:41

  6. 07:30

  7. 07:12

  8. 17:45


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel