CVE-2020-13777 ist eine Sicherheitsanfälligkeit in GnuTLS, eine weit verbreitete, Open Source-Bibliothek, die Transport Layer Security implementiert.
Die Sicherheitsanfälligkeit besteht seit fast zwei Jahren in der Bibliothek, Wiederaufnahme von TLS 1.3 Sitzungen anfällig für Angriffe. Die Sicherheitslücke, eingeführt in GnuTLS 3.6.4 im September, 2018 wurde in GnuTLS angesprochen 3.6.14 im Juni 3, 2020.
CVE-2020-13777 erklärt
Der Fehler ermöglichte es GnuTLS-Servern, Sitzungstickets zu verwenden, die während eines früheren sicheren TLS ausgestellt wurden 1.3 Session, ohne auf die Funktion zuzugreifen, die geheime Schlüssel generiert:
gnutls_session_ticket_key_generate()
Angreifer, die die Sicherheitsanfälligkeit CVE-2020-13777 ausnutzen, können die Authentifizierung unter TLS umgehen 1.3, Auf diese Weise werden frühere Konversationen unter TLS wiederhergestellt 1.2.
Laut Sicherheitsforscher bekannt unter der Luftturm Spitzname:
GnuTLS-Server können von einander ausgestellte Tickets ohne Zugriff auf den von gnutls_session_ticket_key_generate generierten geheimen Schlüssel verwenden(). Auf diese Weise kann ein MITM-Server ohne gültige Anmeldeinformationen Sitzungen mit einem Client fortsetzen, der zuerst eine erste Verbindung mit einem Server mit gültigen Anmeldeinformationen hergestellt hat. Das Problem betrifft TLS 1.3, bei Verwendung von TLS 1.2 Die Wiederaufnahme schlägt wie erwartet fehl.
Der Forscher zuerst “bemerkte das Problem mit Ubuntu Version 3.6.13-2ubuntu1, und reproduzierte es mit einem Build vom Master ab 52e78f1e."
Einige Sicherheitsforscher haben argumentiert, dass GnuTLS als Abhängigkeit entfernt werden sollte, Viele äußern ihre Verachtung gegenüber der Bibliothek, wie von TheRegister hervorgehoben.
Das MITRE CVE-Wörterbuch enthält die folgende Beschreibung der Sicherheitsanfälligkeit:
GnuTLS 3.6.x vorher 3.6.14 verwendet eine falsche Kryptografie zum Verschlüsseln eines Sitzungstickets (ein Verlust der Vertraulichkeit in TLS 1.2, und eine Authentifizierungsumgehung in TLS 1.3). Die früheste betroffene Version ist 3.6.4 (2018-09-24) wegen eines Fehlers in a 2018-09-18 verpflichten. Bis zur ersten Tastendrehung, Der TLS-Server verwendet immer falsche Daten anstelle eines von einer Anwendung abgeleiteten Verschlüsselungsschlüssels.
Es ist keine Abschwächung des Problems bekannt, RedHat Advisory sagt.
Milena Dimitrova
Ein begeisterter Autor und Content Manager, der seit Projektbeginn bei SensorsTechForum ist. Ein Profi mit 10+ jahrelange Erfahrung in der Erstellung ansprechender Inhalte. Konzentriert sich auf die Privatsphäre der Nutzer und Malware-Entwicklung, sie die feste Überzeugung, in einer Welt, in der Cybersicherheit eine zentrale Rolle spielt. Wenn der gesunde Menschenverstand macht keinen Sinn, sie wird es sich Notizen zu machen. Diese Noten drehen können später in Artikel! Folgen Sie Milena @Milenyim
Folge mir: