Kohde:

– palvelimet ja palvelinsovellukset
– työasemat ja loppukäyttäjäsovellukset
– verkon aktiivilaitteet
– sulautetut järjestelmät

Lisätietoja

Hyökkäystapa:

– ilman kirjautumista
– etäkäyttö

Lisätietoja

Hyväksikäyttö:

– komentojen mielivaltainen suorittaminen
– palvelunestohyökkäys

Lisätietoja

Ratkaisu:

– korjaava ohjelmistopäivitys

Lisätietoja

GnuTLS Transport Layer Security -kirjastosta on löydetty muistinkäsittelyyn
liittyvä haavoittuvuus Server Hello-viestin session id -parametrin
käsittelyssä. Haavoittuvuuden avulla on mahdollista aiheuttaa
palvelunestotila haavoittuvassa asiakasohjelmistossa sen vastaanottaessa
tietyllä tavalla muokatun Server Hello -viestin.

Haavoittuvuus saattaa myös mahdollistaa hyökkääjän koodin suorittamisen
kohdejärjestelmässä käyttäjän oikeuksin.

HAAVOITTUVAT OHJELMISTOT:

* GnuTLS 3.1.x, versiota 3.1.25 vanhemmat versiot

* GnuTLS 3.2.x, versiota 3.2.15 vanhemmat versiot

* GnuTLS 3.3.x, versiota 3.3.2 vanhemmat versiot

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä GnuTLS korjattuun versioon.

https://www.cert.fi/haavoittuvuudet/2014/haavoittuvuus-2014-074.html