CVE-2020-13777 er en sårbarhed i GnuTLS, et bredt vedtaget, open source bibliotek, der implementerer Transport Layer Security.
Sårbarheden har været til stede i biblioteket i næsten to år, gør genoptaget TLS 1.3 sessioner sårbare over for angreb. Sårbarheden, introduceret i GnuTLS 3.6.4 i september, 2018 blev behandlet i GnuTLS 3.6.14 juni 3, 2020.
CVE-2020-13777 Forklaret
Fejlen tillader GnuTLS-servere at bruge sessionbilletter, der blev udstedt under en tidligere sikker TLS 1.3 session, uden at få adgang til den funktion, der genererer hemmelige nøgler:
gnutls_session_ticket_key_generate()
Angribere, der udnytter sårbarheden CVE-2020-13777, kan omgå autentificering under TLS 1.3, således at gendanne tidligere samtaler under TLS 1.2.
Ifølge sikkerhedsforsker kendt under Airtower kaldenavn:
GnuTLS-servere er i stand til at bruge billetter udstedt af hinanden uden adgang til den hemmelige nøgle, som er genereret af gnutls_session_ticket_key_generate(). Dette gør det muligt for en MITM-server uden gyldige legitimationsoplysninger at genoptage sessioner med en klient, der først oprettede en initial forbindelse med en server med gyldige legitimationsoplysninger. Problemet gælder for TLS 1.3, når du bruger TLS 1.2 genoptagelse mislykkes som forventet.
Forskeren først “bemærkede problemet med Ubuntu version 3.6.13-2ubuntu1, og gengives med en build fra master fra 52e78f1e."
Nogle sikkerhedsforskere har argumenteret for, at GnuTLS skulle fjernes som en afhængighed, med mange udtryk for deres foragt mod biblioteket, som påpeget af TheRegister.
MITER CVE-ordbogen giver følgende beskrivelse af sårbarheden:
GnuTLS 3.6.x før 3.6.14 bruger forkert kryptografi til kryptering af en sessionskort (et tab af fortrolighed i TLS 1.2, og en godkendelsesbypass i TLS 1.3). Den tidligste berørte version er 3.6.4 (2018-09-24) på grund af en fejl i en 2018-09-18 begå. Indtil den første nøglerotation, TLS-serveren bruger altid forkerte data i stedet for en krypteringsnøgle, der stammer fra et program.
Der er ingen kendt afhjælpning af problemet, RedHat rådgivende siger.
Milena Dimitrova
En inspireret forfatter og indholdschef, der har været hos SensorsTechForum siden projektets start. En professionel med 10+ års erfaring med at skabe engagerende indhold. Fokuseret på brugernes privatliv og malware udvikling, hun tror stærkt på en verden, hvor cybersikkerhed spiller en central rolle. Hvis almindelig sund fornuft giver ingen mening, hun vil være der til at tage noter. Disse noter senere kan blive til artikler! Følg Milena @Milenyim
Følg mig: