CVE-2020-13777 es una vulnerabilidad en GnuTLS, un ampliamente adoptado, biblioteca de código abierto que implementa Transport Layer Security.
La vulnerabilidad ha estado presente en la biblioteca durante casi dos años., haciendo reanudar TLS 1.3 sesiones vulnerables al ataque. La vulnerabilidad, introducido en GnuTLS 3.6.4 en septiembre, 2018 fue abordado en GnuTLS 3.6.14 en Junio 3, 2020.
CVE-2020-13777 explicado
El error permitió a los servidores GnuTLS utilizar tickets de sesión emitidos durante un TLS seguro previo 1.3 sesión, sin acceder a la función que genera claves secretas:
gnutls_session_ticket_key_generate()
Los atacantes que explotan la vulnerabilidad CVE-2020-13777 podrían eludir la autenticación bajo TLS 1.3, recuperando así conversaciones previas bajo TLS 1.2.
Según el investigador de seguridad conocido bajo el Airtower apodo:
Los servidores GnuTLS pueden usar tickets emitidos entre sí sin acceso a la clave secreta generada por gnutls_session_ticket_key_generate(). Esto permite que un servidor MITM sin credenciales válidas reanude las sesiones con un cliente que primero estableció una conexión inicial con un servidor con credenciales válidas. El problema se aplica a TLS 1.3, cuando se usa TLS 1.2 la reanudación falla como se esperaba.
El investigador primero "noté el problema con Ubuntu versión 3.6.13-2ubuntu1, y lo reproduje con una compilación de master a partir de 52e78f1e."
Algunos investigadores de seguridad han estado argumentando que GnuTLS debería eliminarse como una dependencia, con muchos expresando su desdén contra la biblioteca, como lo señaló TheRegister.
El diccionario MITER CVE ofrece la siguiente descripción de la vulnerabilidad.:
GnuTLS 3.6.x antes 3.6.14 usa criptografía incorrecta para encriptar un ticket de sesión (una pérdida de confidencialidad en TLS 1.2, y un bypass de autenticación en TLS 1.3). La primera versión afectada es 3.6.4 (2018-09-24) debido a un error en un 2018-09-18 cometer. Hasta la primera rotación de teclas, el servidor TLS siempre usa datos incorrectos en lugar de una clave de cifrado derivada de una aplicación.
No existe una mitigación conocida contra el problema., El aviso de RedHat dice.
Milena Dimitrova
Un escritor inspirado y administrador de contenido que ha estado con SensorsTechForum desde que comenzó el proyecto.. Un profesional con 10+ años de experiencia en la creación de contenido atractivo. Centrado en la privacidad de los usuarios y el desarrollo de malware, ella cree firmemente en un mundo donde la seguridad cibernética juega un papel central. Si el sentido común no tiene sentido, ella estará allí para tomar notas. Esas notas pueden convertirse más tarde en artículos! Siga Milena @Milenyim
Sígueme: