製品・ソフトウェアに関する情報

JVN脆弱性詳細

GnuTLS の lib/x509/verify.c における制限を回避される脆弱性

Title	GnuTLS の lib/x509/verify.c における制限を回避される脆弱性
Summary	GnuTLS の lib/x509/verify.c は、バージョン 1 の X.509 証明書を中間 CA として扱うため、制限を回避される脆弱性が存在します。
Possible impacts	第三者により、新しい証明書を発行する信頼された CA からの X.509 V1 証明書を利用されることで、制限を回避される可能性があります。
Solution	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date	Feb. 12, 2014, midnight
Registration Date	March 10, 2014, 2:17 p.m.
Last Update	March 10, 2014, 2:17 p.m.

Affected System

GNU Project

GnuTLS 3.1.21 未満

GnuTLS 3.2.11 未満の 3.2.x

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2014-1959	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-1959
National Vulnerability Database (NVD)
2	CVE-2014-1959	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1959

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-264	https://jvndb.jvn.jp/ja/cwe/CWE-264.html

ベンダー情報

No	Name	URL
Gitorious
1	Fix bug that prevented the rejection of v1 intermediate CA certificates.	https://www.gitorious.org/gnutls/gnutls/commit/b1abfe3d182d68539900092eb42fc62cf1bb7e7c
GnuTLS
2	GNUTLS-SA-2014-1	http://gnutls.org/security.html#GNUTLS-SA-2014-1
Red Hat Bugzilla
3	Bug 1065092	https://bugzilla.redhat.com/show_bug.cgi?id=1065092

Change Log

No	Changed Details	Date of change
0	[2014年03月10日] 掲載	Feb. 17, 2018, 10:37 a.m.

NVD Vulnerability Information

CVE-2014-1959

Summary	lib/x509/verify.c in GnuTLS before 3.1.21 and 3.2.x before 3.2.11 treats version 1 X.509 certificates as intermediate CAs, which allows remote attackers to bypass intended restrictions by leveraging a X.509 V1 certificate from a trusted CA to issue new certificates.
Publication Date	March 7, 2014, 9:10 a.m.
Registration Date	Jan. 26, 2021, 3:07 p.m.
Last Update	Nov. 21, 2024, 11:05 a.m.

Affected software configurations

Related information, measures and tools

No	URL	タグ
1	http://seclists.org/oss-sec/2014/q1/344
2	http://seclists.org/oss-sec/2014/q1/344
3	http://seclists.org/oss-sec/2014/q1/345
4	http://seclists.org/oss-sec/2014/q1/345
5	http://www.debian.org/security/2014/dsa-2866
6	http://www.debian.org/security/2014/dsa-2866
7	http://www.gnutls.org/security.html	Vendor Advisory
8	http://www.gnutls.org/security.html	Vendor Advisory
9	http://www.securityfocus.com/bid/65559
10	http://www.securityfocus.com/bid/65559
11	http://www.ubuntu.com/usn/USN-2121-1
12	http://www.ubuntu.com/usn/USN-2121-1
13	https://www.gitorious.org/gnutls/gnutls/commit/b1abfe3d182d68539900092eb42fc62cf1bb7e7c	Exploit Patch
14	https://www.gitorious.org/gnutls/gnutls/commit/b1abfe3d182d68539900092eb42fc62cf1bb7e7c	Exploit Patch

Common Vulnerabilities List

No	CWE	Name	URL
1	CWE-264	認可・権限・アクセス制御	https://cwe.mitre.org/data/definitions/264.html