• IT-Karriere:
  • Services:

Security: Weiterer schwerer Fehler in GnuTLS

Fast unbemerkt haben Entwickler eine weitere Sicherheitslücke in der Kryptobibliothek GnuTLS geschlossen. Anwendungen, die die Bibliothek nutzen, müssen jedoch ebenfalls angepasst werden.

Artikel veröffentlicht am ,
In GnuTLS wurde ein neuer Fehler entdeckt und repariert.
In GnuTLS wurde ein neuer Fehler entdeckt und repariert. (Bild: Screenshot Gitorious)

In der Kryptobibliothek GnuTLS ist ein neuer Fehler entdeckt und bereits behoben worden. Allerdings müssen Anwendungen, die GnuTLS als Basis verwenden, ebenfalls geflickt werden. Da es sich dabei um einige hundert handelt, dürfte das eine Weile dauern. Es ist die zweite große Lücke in der Kryptobibliothek für Linux innerhalb weniger Wochen.

Stellenmarkt
  1. CARL BECHEM GMBH, Hagen
  2. Hays AG, München

Bereits am vergangenen Freitag hatten die Entwickler die Versionen 3.1.25, 3.2.15 und 3.3.4 von GnuTLS nachgereicht, in denen der Fehler CVE-2014-3466 behoben wurde. Durch ihn konnten Angreifer in einer neuen TLS/SSL-Verbindung mit einer überlangen Session-ID einen Pufferüberlauf in einer Client-Anwendung auf dem Rechner eines Opfers auslösen. Darüber lässt sich unter Umständen beliebiger Code ausführen oder die Anwendung stürzt einfach ab. Der Fehler lässt sich deshalb auch in Drive-By-Angriffen nutzen. Berichte über aktuelle Angriffe gibt es jedoch nicht.

Erst Anfang März 2014 hatten Entwickler einen Fehler in der Kryptobibliothek behoben, der dazu führen konnte, dass gefälschte Zertifikate akzeptiert wurden. Die Sicherheitslücke, die mit der ID CVE-2014-0092 bezeichnet wird, wurde wie auch die jetzige bei einem Audit für die Linux-Distribution Red Hat entdeckt.

GnuTLS ist eine unter der LGPL stehende Bibliothek für TLS-Verbindungen und wird vor allem unter Linux genutzt. Verwendet wird GnuTLS überwiegend von kleineren Tools. Browser und Webserver setzen meist entweder auf OpenSSL oder NSS. Sofern sie nicht über die Softwarequellen einer Distribution zur Verfügung stehen, gibt es die aktuellen Versionen von GnuTLS auf der Webseite des Projekts.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. (u. a. Yu-Gi-Oh! Promo (u. a. Yu-Gi-Oh! Legacy of the Duelist für 7,20€, Yu-Gi-Oh! ARC-V: ARC...
  2. 999€ (mit Rabattcode "POWERSPRING21" - Bestpreis)
  3. 1.829€ (Bestpreis)

MasterKeule 05. Jun 2014

Ach so ist das. Na dann ist es ja kein Problem, dass die Standardbibliothek von C seit...

Perry3D 05. Jun 2014

Ein einfaches Austauschen der Bibliothek sollte doch ausreichen, oder?


Folgen Sie uns
       


Assassin's Creed Valhalla - Fazit

Im Video stellt Golem.de das Action-Rollenspiel Assassins's Creed Valhalla vor, das Spieler als Wikinger nach England schickt.

Assassin's Creed Valhalla - Fazit Video aufrufen
Börse: Was zur Hölle ist ein SPAC?
Börse
Was zur Hölle ist ein SPAC?

SPACs sind die neue Modewelle an der Börse: Firmen, die es eigentlich nicht könnten, gehen unter dem Mantel einer anderen Firma an die Börse. Golem.de hat unter den Mantel geschaut.
Eine Analyse von Achim Sawall

  1. Wallstreetbets Trade Republic entschuldigt sich für Probleme mit Gamestop
  2. Tokyo Stock Exchange Hardware-Ausfall legte Tokioter Börse lahm

Next-Gen-Konsolen: Das erste Quartal mit Playstation 5 und Xbox Series X/S
Next-Gen-Konsolen
Das erste Quartal mit Playstation 5 und Xbox Series X/S

Rückblick und Ausblick: Meine ersten drei Monate mit den neuen Konsolen von Sony und Microsoft - und was sich bei der Firmware getan hat.
Von Peter Steinlechner

  1. Sony Zusatz-SSD macht offenbar die Playstation 5 lauter
  2. Sony Playstation-5-Spieler müssen wohl noch warten
  3. Playstation 5 Analogsticks des Dualsense halten wohl nur 400 Stunden durch

Razer Huntsman V2 Analog im Test: Die Gamepad-Tastatur
Razer Huntsman V2 Analog im Test
Die Gamepad-Tastatur

Spielen mit Gamepad oder Keyboard - warum eigentlich nicht mit beidem? Mit Razers neuer Tastatur legen wir Analogsticks auf WSAD.
Ein Test von Oliver Nickel

  1. SPC Gear Mechanische TKL-Tastatur mit RGB kostet 55 Euro
  2. Launch Neue Details zur Open-Source-Tastatur von System76
  3. Youtube Elektroschock-Tastatur bestraft schlampiges Tippen

    •  /