Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 2.7.6版之前的 GnuTLS 在未啟用 GNUTLS_VERIFY_ALLOW_X509_V1_CA_CRT 旗標時，會將版本 1 X.509 憑證視為中繼 CA，進而允許遠端攻擊者利用來自受信任 CA 的 X.509 V1 憑證來核發新憑證，藉此繞過預定的限制，與 CVE-2014-1959不同的弱點。 (CVE-2009-5138)

請注意，Nessus 依賴供應商報告的套件存在。

來自 Red Hat 安全性公告 2014:0247：

現已提供適用於 Red Hat Enterprise Linux 5 的更新版 gnutls 套件，以修正兩個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

GnuTLS 程式庫提供對於加密演算法及諸如傳輸層安全性 (TLS) 等通訊協定的支援。

據發現，GnuTLS 並未正確處理可在 X.509 憑證驗證期間發生的特定錯誤，進而導致錯誤地報告驗證成功。攻擊者可利用此瑕疵建立特製的憑證，GnuTLS 可能接受此憑證，將其視為對攻擊者所選擇的網站有效。(CVE-2014-0092)

在 GnuTLS 處理版本 1 X.509 憑證的方式中發現一個瑕疵。攻擊者若能從受信任的憑證授權單位取得版本 1 憑證，就可利用此瑕疵發出其他網站的憑證，而 GnuTLS 會將此類憑證視為有效並接受。(CVE-2009-5138)

CVE-2014-0092 問題的發現者為 Red Hat 安全性技術團隊的 Nikos Mavrogiannopoulos。

建議 GnuTLS 使用者升級至這些更新版套件，以更正這些問題。若要使更新生效，所有與 GnuTLS 程式庫連結的應用程式都必須重新啟動。

GnuTLS 程式庫收到一個重大安全性修正和其他更新：

- CVE-2014-0092：X.509 憑證驗證未正確處理錯誤，進而可導致損毀憑證標記為有效。

- CVE-2009-5138：處理 V1 憑證時的一個驗證問題也可導致錯誤處理 V1 憑證。

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，GnuTLS 並未正確處理可在 X.509 憑證驗證期間發生的特定錯誤，進而導致錯誤地報告驗證成功。攻擊者可利用此瑕疵建立特製的憑證，GnuTLS 可能接受此憑證，將其視為對攻擊者所選擇的網站有效。(CVE-2014-0092)

在 GnuTLS 處理版本 1 X.509 憑證的方式中發現一個瑕疵。攻擊者若能從受信任的憑證授權單位取得版本 1 憑證，就可利用此瑕疵發出其他網站的憑證，而 GnuTLS 會將此類憑證視為有效並接受。(CVE-2009-5138)

若要使更新生效，所有與 GnuTLS 程式庫連結的應用程式都必須重新啟動。

現已提供適用於 Red Hat Enterprise Linux 5 的更新版 gnutls 套件，以修正兩個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

GnuTLS 程式庫提供對於加密演算法及諸如傳輸層安全性 (TLS) 等通訊協定的支援。

據發現，GnuTLS 並未正確處理可在 X.509 憑證驗證期間發生的特定錯誤，進而導致錯誤地報告驗證成功。攻擊者可利用此瑕疵建立特製的憑證，GnuTLS 可能接受此憑證，將其視為對攻擊者所選擇的網站有效。(CVE-2014-0092)

在 GnuTLS 處理版本 1 X.509 憑證的方式中發現一個瑕疵。攻擊者若能從受信任的憑證授權單位取得版本 1 憑證，就可利用此瑕疵發出其他網站的憑證，而 GnuTLS 會將此類憑證視為有效並接受。(CVE-2009-5138)

CVE-2014-0092 問題的發現者為 Red Hat 安全性技術團隊的 Nikos Mavrogiannopoulos。

建議 GnuTLS 使用者升級至這些更新版套件，以更正這些問題。若要使更新生效，所有與 GnuTLS 程式庫連結的應用程式都必須重新啟動。

GnuTLS 程式庫收到一個重大安全性修正和其他更新：

- X.509 憑證驗證未正確處理錯誤，進而導致損毀憑證標記為有效。(CVE-2014-0092)

- 處理 V1 憑證時的驗證問題也可導致錯誤處理 V1 憑證。
 PSK 驗證的一個記憶體洩漏問題也已修正。(bnc#835760)。(CVE-2009-5138)

ID	名稱	產品	系列	已發布	已更新	嚴重性
217142	Linux Distros 未修補弱點：CVE-2009-5138	Nessus	Misc.	2025/3/3	2025/3/3	high
72792	Oracle Linux 5 : gnutls (ELSA-2014-0247)	Nessus	Oracle Linux Local Security Checks	2014/3/4	2024/10/22	high
83612	SUSE SLES10 安全性更新：gnutls (SUSE-SU-2014:0321-1)	Nessus	SuSE Local Security Checks	2015/5/20	2021/1/19	medium
72795	Scientific Linux 安全性更新：SL5.x i386/x86_64 上的 gnutls	Nessus	Scientific Linux Local Security Checks	2014/3/4	2021/1/14	medium
72794	RHEL 5：gnutls (RHSA-2014:0247)	Nessus	Red Hat Local Security Checks	2014/3/4	2021/1/14	medium
72797	SuSE 11.3 安全性更新：gnutls (SAT 修補程式編號 8949)	Nessus	SuSE Local Security Checks	2014/3/4	2021/1/19	medium
72804	CentOS 5 : gnutls (CESA-2014:0247)	Nessus	CentOS Local Security Checks	2014/3/5	2021/1/4	medium

偵測

搜尋 Plugin

high

high

medium

medium

medium

medium

medium