BDU:2016-00709

Уязвимость криптографической библиотеки Nettle, позволяющая нарушителю повлиять на конфиденциальность, целостность и доступность защищаемой информации

Опубликовано: 2016-03-31

Описание

Уязвимость функции ecc_256_modp (ecc-256.c) криптографической библиотеки Nettle связана с ошибками криптографических преобразований. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повлиять на конфиденциальность, целостность и доступность защищаемой информации

Затрагиваемое ПО и версии

Ubuntu (14.04 LTS)openSUSE (13.1)openSUSE (13.2)Ubuntu (15.10)OpenSUSE Leap (42.1)Nettle (до 3.2)

Способ устранения

Обновление криптографической библиотеки Nettle до версии 3.2 или новее

Оценка CVSS

Балл	7.5 — высокая опасность

Источники и патчи

https://git.lysator.liu.se/nettle/nettle/commit/c71d2c9d20eeebb985e3872e4550137209e3ce4d https://lists.lysator.liu.se/pipermail/nettle-bugs/2015/003028.html https://lists.gnu.org/archive/html/info-gnu/2016-01/msg00006.html https://blog.fuzzing-project.org/38-Miscomputations-of-elliptic-curve-scalar-multiplications-in-Nettle.html http://www.ubuntu.com/usn/USN-2897-1 http://www.openwall.com/lists/oss-security/2016/02/03/1 http://www.openwall.com/lists/oss-security/2016/02/02/2 http://lists.opensuse.org/opensuse-updates/2016-02/msg00100.html

Проверьте безопасность своего сайта и почты → Полная проверка домена