悪用された場合、GnuTLSを使っているTLS/SSLクライアントで任意のコードを実行される恐れもある。 Red Hat、Debian、Ubuntuなどの主要Linuxディストリビューションに使われているオープンソースのSSL／TLSライブラリ「GnuTLS」に新たな脆弱性が見つかり、修正パッチがリリースされた。悪用された場合、クライアントサイドで任意のコードを実行される可能性が指摘されている。 Red Hatが公開したセキュリティ情報によれば、この脆弱性に関する情報は5月28日に公開され、6月3日までに修正パッチが公開された。GnuTLSでTLS/SSLハンドシェイクのServer HelloパケットからのセッションIDを解析する方法に脆弱性があり、不正なサーバを使って過度に長いセッションIDを送り付けることにより、GnuTLS経由で接続しているTLS/SSLクライアントをバッファオーバ
GnuTLSの脆弱性でTLS1.3の再接続を理解する(Challenge CVE-2020-13777) - ぼちぼち日記
(TLDR; めちゃくちゃ長くなったので、長文読むのが苦手な方は読まないようお願いします。) 1. はじめに 前回の「求む！TLS1.3の再接続を完全に理解した方(Challenge CVE-2020-13777)」 の記事にて、GnuTLSの脆弱性(CVE-2020-13777)のPoCを募集しました。 短い期間にも関わらず2名の方から応募を頂き、本当にありがとうございます。 また、応募しなかったけど課題に取り組んで頂いた方もいらしゃったようです。この課題を通じて、いろいろな方がTLS1.3仕様(RFC8446)に触れる機会を持っていただいたことを非常に嬉しく思います。 全くの初心者ではやはり課題が難しいとの意見もいただきました。今後はもう少し幅広い人に手をつけやすいよう工夫が必要であると感じていますが、はてさてどうしたらいいか、なかなか難しい。なんにせよ初めての試みでしたが、やってみて
攻撃者が不正な証明書を使って証明書チェックをかわし、正規のWebサイトやサーバを装って中間者攻撃を仕掛けることが可能だという。 Red Hatなどの主要Linuxディストリビューションに使われているオープンソースのSSL／TLSライブラリ「GnuTLS」に脆弱性が見つかった。通信に割り込む「中間者攻撃」に使われる恐れがあることから、米US-CERTは3月5日にセキュリティ情報を出し、脆弱性解決のためのアップデートを適用するよう呼び掛けている。 GnuTLSチームのアドバイザリーによると、脆弱性はGnuTLSの証明書チェック機能に存在する。この問題を突いて細工を施した「X509」証明書を利用すれば、証明書チェックをかわし、正規のWebサイトやサーバを装って中間者攻撃を仕掛けることが可能だという。 脆弱性を修正するためには、GnuTLS最新バージョンの3.2.12／3.1.22にアップデートす
GnuTLS is at https://gnutls.org/.
CVE-2020-13777: TLS 1.3 session resumption works without master key, allowing MITM (#1011) · Issues · gnutls / GnuTLS · GitLab
CVE-2020-13777: TLS 1.3 session resumption works without master key, allowing MITM GnuTLS servers are able to use tickets issued by each other without access to the secret key as generated by gnutls_session_ticket_key_generate(). This allows a MITM server without valid credentials to resume sessions with a client that first established an initial connection with a server with valid credentials. Th
ものすごい久しぶりにひとりごとをしゃべってみる。 gmailをwanderlustから見るときに、ssl.elだとwindowsだと証明書がないからか、うまくつながらない。 ちょっと前に wl-en ML で Vitaly Mayatskikh さんがこんな方法を書いてた。 (setq ssl-program-name "gnutls-cli") (setq ssl-program-arguments '("-p" service host))けど、標準のtls.elを使ったこんな方法もある。これだとssl.elなしでも使える。Emacs23で確認。多分22でも大丈夫。 (require 'tls) (set-alist 'elmo-network-stream-type-alist "!" '(ssl ssl open-tls-stream))
Ars Technicaに掲載された記事「Critical crypto bug leaves Linux, hundreds of apps open to eavesdropping」がGnuTLSのセキュリティ脆弱性を取り上げ、このセキュリティ脆弱性を利用されると不正なX.509証明書を利用してSSL/TLSの通信内容を傍受するシステムを構築される危険性があることを伝えた。 GnuTLS 3.2.12よりも前のバージョンまたはGnuTLS 3.1.22よりも前のバージョンにはX.509証明書の処理に問題があり、特定の細工されたX.509証明書を使われるとそれが不正な証明書であっても処理が通ってしまうという。これを利用されると不正に作成したX.509証明書を使って正規のサイトや正規のサービスのように見せかけることで、アクセスしてくるユーザの通信内容を盗聴することが可能になる。 問題とな
New Project Page As of July of 2011 mod_gnutls is now being maintained by Dash Shendy and has a new project page at Source Forge Abstract mod_gnutls uses the GnuTLS library to provide SSL 3.0, TLS 1.0, TLS 1.1 and 1.2 encryption for Apache HTTPD. It is similar to mod_ssl in purpose, but does not use OpenSSL. Features Support for SSL 3.0, TLS 1.x. Support for client certificates. Support for Safe r
GnuTLS - Wikipedia
GnuTLS（GNU Transport Layer Security; グヌーティーエルエス）はSSL/TLSとDTLSプロトコルのフリーなライブラリー実装のひとつである。アプリケーションがネットワーク通信層を越えて安全な通信プロトコルを利用できるようAPIを提供することを目的とする。GnuTLSには以下の機能がある [4]。 概要[編集] SSL 3.0、TLS (1.0, 1.1, 1.2, 1.3)、DTLS (1.0, 1.2) プロトコルのサポート DANE OCSP RSA暗号、楕円曲線暗号を含む公開鍵アルゴリズム TLS-SRP（英語版）: TLS認証におけるセキュアリモートパスワードプロトコル（英語版） (Secure remote password、SRP) TLS-SRP（英語版）: TLS認証における事前共有鍵（英語版） (Pre-shared key、PSK) A
SSL-enabled Name-based Apache Virtual Hosts with mod_gnutls
This article describes how to implement SSL-enabled name-based vhosts – that is secure virtual hosts which share the same IP address and port – with the SNI-capable mod_gnutls module for Apache’s httpd web server. Server Name Indication (SNI), as described in section 3.1 of the RFC3546, is a TLS extension which makes the configuration of SSL-enabled name-based virtual hosts possible. This extentio
GnuTLSに脆弱性 - 発覚が続くTLS/SSL問題
Arstechnicaは6月3日(米国時間)、「Critical new bug in crypto library leaves Linux, apps open to drive-by attacks｜Ars Technica」においてGnuTLSにセキュリティ脆弱性が存在したことを伝えた。このセキュリティ脆弱性を利用されると、細工されたサーバにアクセスしたGnuTLSライブラリを使用するソフトウェアはリモートの攻撃者によって任意のコードが実行されるといった攻撃を受ける危険性がある。 このセキュリティ脆弱性はGnuTLSの実装上の問題で、入力されるデータの長さを適切にハンドリングしなかったことでバッファオーバーフローが発生することが原因とされている。GnuTLSのバージョン3.1.25、3.2.15、3.3.4で修正されているため、GnuTLSを修正版へアップグレードするとともに、Gn
This page started as a comparison of different free software TLS implementations, and has now evolved to a Wikipedia article, that anyone can update. Please send FSF & GNU inquiries to gnu@gnu.org. There are also other ways to contact the FSF. Please send broken links and other corrections or suggestions to bug-gnutls@gnu.org. Copyright © 2011,2012 Free Software Foundation, Inc. Verbatim copying a
Index of /gnutls4win
GNU TLS FOR WINDOWS -- Instructions for the Windows port of GnuTLS Copyright (C) 2006, 2007, 2008 Simon Josefsson See the end for copying conditions. This directory contain files that will build a Windows installer for GnuTLS. The GnuTLS DLL and the normal GnuTLS command-line tools are included. The related helper libraries are also installed: libgpg-error, libgcrypt, and libtasn1. Naturally, full
図1 今回のブースの様子 Quantalの開発 Alpha3が無事にリリースされたこと、そして開発者の一部が夏休みに入ることもあり[1]、今週は大きな変更が加えられずに過ぎています。 時期的なこともあり、Xまわりのミニミーティングや、12.04.1のリリースミーティングなど、状況を整理するタイプのミーティングが行われています。 なお、12.04.1のリリースは8月23日の予定となっています。 gnutlsのマイグレーション Debian/Ubuntuにおいて、gnutlsパッケージはOpenSSLに次いで、非常によく使われているSSL/TLS＋X509証明書処理のためのライブラリです。現在のところDebian/Ubuntuともにgnutls26（libgnutls26）系のパッケージが使われています。 しかしながらgnutls26はやや古くなりつつあり[2]、「gnutls28に置き
GnuTLS
Welcome to GnuTLS project pages Overview GnuTLS is a secure communications library implementing the SSL, TLS and DTLS protocols and technologies around them. It provides a simple C language application programming interface (API) to access the secure communications protocols as well as APIs to parse and write X.509, PKCS #12, and other required structures. The project strives to provide a secure c
error: gnutls_handshake() failed: A TLS packet with unexpected length was received - komamitsu.log
とあるgit repositoryからgit cloneしようとしたら以下のエラーが出てしまいました。 error: gnutls_handshake() failed: A TLS packet with unexpected length was receivedで、どうしようか、というメモ。 まず、どうやらgnutlsがエラーを出しているみたいなので、念のため確認と絞り込み。やはりエラーとなる。 $ gnutls-cli -p 443 hogehoge.com Resolving 'hogehoge.com'... Connecting to '123.231.213.123:443'... *** Fatal error: A TLS packet with unexpected length was received. *** Handshake has failed GnuTL
GnuTLS
It was found using the TLS fuzzer tools that decoding a status response TLS extension with valid contents could lead to a crash due to a null pointer dereference. The issue affects GnuTLS server applications. The issue was fixed in 3.5.13. Recommendation: To address the issues found upgrade to GnuTLS 3.5.13 or later versions. It was found using the OSS-FUZZ fuzzer infrastructure that decoding a sp
SSL/TLSとDTLSプロトコルのフリー実装であるGnuTLS Transport Layer Security Library開発チームは8月21日、「GnuTLS 3.6」をリリースした。ロックフリーの乱数生成器導入などの新機能が加わっている。 GnuTLSはSSL/TLSおよびDTLSプロトコルを実装したネットワーク通信ライブラリ。C言語向けのAPIを提供し、これを利用してプロトコルにアクセスできる。TLS 1.0/1.1/1.2、SSL 3.0、STLS 1.0/1.2をサポート、Online Certificate Status Protocol、証明書パス検証、RSAや楕円曲線といった公開鍵アルゴリズムにも対応する。主要なUNIX/LinuxのほかWindowsでも動作する。 GnuTLS 3.6は2016年5月に公開された3.5系に続く最新のブランチ。安定版と同じ品質レベル
"error: gnutls_handshake() failed" when connecting to https servers
When I try to connect to any HTTPS server with git, it gives the following error: error: gnutls_handshake() failed: A TLS packet with unexpected length was received. while accessing ... fatal: HTTP request failed I think that maybe some packages that are related to gnutls_handshake have been broken. So, I want to reinstall those. Which packages can be related to these errors? Or how do I fix this
GnuTLS
Welcome to GnuTLS project pages Overview GnuTLS is a secure communications library implementing the SSL, TLS and DTLS protocols and technologies around them. It provides a simple C language application programming interface (API) to access the secure communications protocols as well as APIs to parse and write X.509, PKCS #12, and other required structures. The project strives to provide a secure c
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「GnuTLS」に新たな脆弱性、主要Linuxディストリビューションに影響
GnuTLSに脆弱性、主要なLinuxディストリビューションに影響
GnuTLS - GNU Project - Free Software Foundation
wanderlustでssl接続にgnutlsを使う - 適当めも
GnuTLSに脆弱性 - SSL/TLS通信を傍受される危険性
OutOfOrder.cc :: mod_gnutls
GnuTLS - GNU Project - Free Software Foundation
2012年8月3日号 OSC Kansai/Kyoto・gnutlsのマイグレーション検討・Server 12.10 Alpha3のテスト要請・Ubuntu TVの機能ムービー・FCM#63・UWN#276 | gihyo.jp
「GnuTLS 3.6」がリリース | OSDN Magazine