[NIXP] Критическая ошибка в GnuTLS позволяет совершать атаки на Linux и приложения

[Dmitry Shurupov]

Обнаруженная недавно уязвимость в библиотеке шифрования GnuTLS (CVE-2014-3466) предоставила возможность для скрытой атаки со стороны вредоносного ПО на Linux и сотни других открытых приложений. Ошибку исправили в обновлении, выпущенном в конце прошлой недели. Злонамеренно настроенные серверы могут использовать данную уязвимость, отправляя неверные данные на устройства при установлении зашифрованных HTTPS-соединений. Устройства, которые задействуют версию GnuTLS с ошибкой, впоследствии могут быть удалённо взломаны вредоносным кодом. Данная ошибка была исправлена в прошлую пятницу, 30-го мая, в версиях GnuTLS 3.1.25, 3.2.15 и 3.3.4. Может пройти достаточно длительное время, прежде чем все операционные системы получат и установят обновления. Отдельный технический анализ показал, как уязвимость может быть использована для выполнения вредоносного кода по усмотрению атакующей стороны. Нет никаких очевидных признаков выполнения атаки, что позволяет делать скрытые атаки (так называемые «drive-by»). На текущий момент также нет информации о том, что данная уязвимость активно эксплуатируется в реальном мире — тем не менее, рекомендуется как можно быстрее принять меры по обновлению уязвимой версии GnuTLS.

оригинал на www.nixp.ru

[Bizdelnick]

возможность для скрытой атаки со стороны вредоносного ПО на Linux

В linux используется gnutls? O_o

[SinClaus]

Используется, на рабочих машинах - для майл-клиентов.

[NickLion]

Bizdelnick
libgnutls, вот такое, например, использует: wireshark, vlc-noX, libavformat, всякие либы мессенджеров (libpurple, telepathy-gabble, telepathy-salut, libgadu), glib-networking. Это из того, что у меня установлено, плюс: aria2, empathy, filezilla, lftp.

[Aectann]

возможность для скрытой атаки со стороны вредоносного ПО на Linux

В linux используется gnutls? O_o

Ты хочешь устроить очередной холивар про терминологию? (:

[Bizdelnick]

libgnutls, вот такое, например, использует: wireshark, vlc-noX, libavformat, всякие либы мессенджеров (libpurple, telepathy-gabble, telepathy-salut, libgadu), glib-networking.

Но не linux же.

Ты хочешь устроить очередной холивар про терминологию? (:

Конечно. А то скучно что-то стало.

[NickLion]

Но и не GNU/Linux тогда уже :) Ничего из перечисленного к Linux или GNU не относится.
Так что, ИМХО, всё равно как неправильно называть, Linux или GNU/Linux.

[Bizdelnick]

Но и не GNU/Linux тогда уже

А я и не говорил ничего про GNU/Linux. Я говорил только про "атаку на linux".
Хотя сама-то GnuTLS к GNU вроде как относится. Неужто никакие гнутые программы её не используют?

[SinClaus]

Pidgin, Sylpheed на вскидку.