Oracle Solaris 第三方修補程式更新：gnutls (cve_2013_1619_cryptographic_issues)

medium Nessus Plugin ID 80630

語系：

概要

遠端 Solaris 系統缺少一個第三方軟體的安全性修補程式。

說明

遠端 Solaris 系統缺少處理安全性更新的必要修補程式：

- GnuTLS 2.12.23 之前版本、3.0.28 之前的 3.0.x 版本和 3.1.7 之前的 3.1.x 版本中的 TLS 實作在處理格式錯誤的 CBC 填補期間，未正確考量不相容 MAC 檢查作業時的計時側通道攻擊，這會允許遠端攻擊者透過特製封包的計時資料統計分析，發動區別性攻擊和純文字復原攻擊，此問題與 CVE-2013-0169 相關。
(CVE-2013-1619)

- 在 GnuTLS 2.12.23 中，lib/gnutls_cipher.c 內的 _gnutls_ciphertext2compressed 函式允許遠端攻擊者透過特製的填補長度，造成拒絕服務 (緩衝區過度讀取和當機)。注意：此問題之所以存在，是因為 CVE-2013-0169 的修正不正確。
(CVE-2013-2116)