GnuTLSの脆弱性情報(Medium: CVE-2019-3829, CVE-2019-3836)

2019.03.28

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

03/26/2019にGnuTLSの脆弱性情報(Medium: CVE-2019-3829, CVE-2019-3836)が公開されています。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。

Priority

  • CVE-2019-3829

    Medium

    • SuSE
      • CVSS v3 Base Score: 5.3
      • Vector: AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
    • Red Hat Customer Potal
      • CVSS v3 Base Score: 5.3
      • Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
    • NVD
  • CVE-2019-3836

    Medium

    • SuSE
      • CVSS v3 Base Score: 5.9
      • Vector: AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
    • Red Hat Customer Potal
      • CVSS v3 Base Score: 5.9
      • Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
    • NVD

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-3829
    • メモリ破壊(double free)の脆弱性
    • 重要度 – High
    • 影響するバージョン : 3.5.8-3.6.6
    • メモリ破壊(double free)の脆弱性が証明書検証API中に存在しました。X.509証明書をGnuTLS 3.5.8以上の該当バージョンで検証しているクライアント／サーバアプリケーションが対象になります。
  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-3836
    • 初期化されていないポインタへのアクセス
    • 重要度 – High
    • 影響するバージョン : 3.6.4-3.6.6
    • 細工されたTLS 1.3のasync handshakeをデコードする事で初期化されていないポインタへのアクセスが発生します。

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。

また、サービスの再起動が発生する場合には、peacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。

セキュリティ系連載案内

タイトルとURLをコピーしました