Thomas Klute discovered that in mod-gnutls, an Apache module providing SSL and TLS encryption with GnuTLS, a bug caused the server's client verify mode not to be considered at all, in case the directory's configuration was unset. Clients with invalid certificates were then able to leverage this flaw in order to get access to that directory.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

SSL および GnuTLS の TLS 暗号化を提供する Apache モジュールである mod-gnutls にバグがあり、ディレクトリの構成が設定されていない場合に、サーバーのクライアント検証モードがまったく考慮されなくなることを、 Thomas Klute が発見しています。無効な証明書のあるクライアントが、そのディレクトリにアクセスするために、この欠陥を利用することができます。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Thomas Klute 發現，在提供具有 GnuTLS 之 SSL 和 TLS 加密的 Apache 模組 mod-gnutls 中，有個錯誤會導致在目錄組態沒有設定時，伺服器的用戶端驗證模式完全不被考慮。憑證無效的用戶端便能利用此瑕疵，來取得該目錄的存取權。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Thomas Klute 发现，在 mod-gnutls 中（提供具有 GnuTLS 的 SSL 和 TLS 加密的 Apache 模块），如果未设置目录的配置，则存在的缺陷可导致忽略服务器的客户端验证模式。带有无效证书的客户端随后便可利用此缺陷获取对该目录的访问权限。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

The remote host is affected by the vulnerability described in GLSA-201709-04 (mod_gnutls: Certificate validation error)

    It was discovered that the authentication hook in mod_gnutls does not       validate client&rsquo;s certificates even when option       &ldquo;GnuTLSClientVerify&rdquo; is set to &ldquo;require&rdquo;.
  Impact :

    A remote attacker could present a crafted certificate and spoof clients       data.
  Workaround :

    There is no known workaround at this time.

Thomas Klute discovered that in mod-gnutls, an Apache module providing SSL and TLS encryption with GnuTLS, a bug caused the server's client verify mode not to be considered at all, in case the directory's configuration was unset. Clients with invalid certificates were then able to leverage this flaw in order to get access to that directory.

Thomas Klute 发现，在 mod-gnutls 中（提供具有 GnuTLS 的 SSL 和 TLS 加密的 Apache 模块），如果未设置目录的配置，则存在的缺陷可导致忽略服务器的客户端验证模式。带有无效证书的客户端随后便可利用此缺陷获取对该目录的访问权限。

远程主机受到 GLSA-201709-04 中所述漏洞的影响（mod_gnutls：证书验证错误）

    据发现，mod_gnutls 中的验证挂钩未验证客户端的凭证，即使将“GnuTLSClientVerify”选项设为“require”亦然。
  影响：

    远程攻击者可提供特制的凭证并伪造客户端数据。
  变通方案：

    目前无任何已知的变通方案。

リモートホストは、GLSA-201709-04（mod_gnutls：証明書の検証エラー）で説明されている脆弱性に影響されています。オプション「GnuTLSClientVerify」が「require」に設定されている場合でも、mod_gnutlsの認証フックがクライアントの証明書を検証しないことが発見されました。影響：リモートの攻撃者が、巧妙に細工された証明書と偽装クライアントデータを提示する可能性があります。回避策：現時点では、既知の回避策はありません。

SSL および GnuTLS の TLS 暗号化を提供する Apache モジュールである mod-gnutls にバグがあり、ディレクトリの構成が設定されていない場合に、サーバーのクライアント検証モードがまったく考慮されなくなることを、 Thomas Klute が発見しています。無効な証明書のあるクライアントが、そのディレクトリにアクセスするために、この欠陥を利用することができます。

遠端主機受到 GLSA-201709-04 中所述的弱點影響(mod_gnutls：憑證驗證錯誤)

    據發現，mod_gnutls 中的驗證勾點未驗證用戶端的憑證，即使將「GnuTLSClientVerify」選項設為「require」亦然。
  影響：

    遠端攻擊者可提供特製的憑證並偽造用戶端資料。
  因應措施：

    目前尚無已知的因應措施。

Thomas Klute 發現，在提供具有 GnuTLS 之 SSL 和 TLS 加密的 Apache 模組 mod-gnutls 中，有個錯誤會導致在目錄組態沒有設定時，伺服器的用戶端驗證模式完全不被考慮。憑證無效的用戶端便能利用此瑕疵，來取得該目錄的存取權。

ID	名稱	產品	系列	已發布	已更新	嚴重性
82155	Debian DLA-170-1 : mod-gnutls security update	Nessus	Debian Local Security Checks	2015/3/26	2021/1/11	medium
82155	Debian DLA-170-1：mod-gnutls セキュリティ更新	Nessus	Debian Local Security Checks	2015/3/26	2021/1/11	medium
82155	Debian DLA-170-1：mod-gnutls 安全性更新	Nessus	Debian Local Security Checks	2015/3/26	2021/1/11	medium
82155	Debian DLA-170-1：mod-gnutls 安全更新	Nessus	Debian Local Security Checks	2015/3/26	2021/1/11	medium
103272	GLSA-201709-04 : mod_gnutls: Certificate validation error	Nessus	Gentoo Local Security Checks	2017/9/18	2021/1/11	medium
81747	Debian DSA-3177-1 : mod-gnutls - security update	Nessus	Debian Local Security Checks	2015/3/11	2021/1/11	medium
81747	Debian DSA-3177-1：mod-gnutls - 安全更新	Nessus	Debian Local Security Checks	2015/3/11	2021/1/11	medium
103272	GLSA-201709-04 : mod_gnutls：凭证验证错误	Nessus	Gentoo Local Security Checks	2017/9/18	2021/1/11	medium
103272	GLSA-201709-04：mod_gnutls：証明書の検証エラー	Nessus	Gentoo Local Security Checks	2017/9/18	2021/1/11	medium
81747	Debian DSA-3177-1 : mod-gnutls のセキュリティ更新	Nessus	Debian Local Security Checks	2015/3/11	2021/1/11	medium
103272	GLSA-201709-04：mod_gnutls：憑證驗證錯誤	Nessus	Gentoo Local Security Checks	2017/9/18	2021/1/11	medium
81747	Debian DSA-3177-1：mod-gnutls - 安全性更新	Nessus	Debian Local Security Checks	2015/3/11	2021/1/11	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium