- Update to 2.4.2

  - CVE-2017-2784

Release notes:
https://tls.mbed.org/tech-updates/releases/mbedtls-2.4.2-2.1.7-and-1.3 .19-released Security notes:
https://tls.mbed.org/tech-updates/security-advisories/mbedtls-security
-advisory-2017-01

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

This update to mbedtls 1.3.19 fixes security issues and bugs.

The following vulnerability was fixed :

CVE-2017-2784: A remote user could have used a specially crafted certificate to cause mbedtls to free a buffer allocated on the stack when verifying the validity of public key with a secp224k1 curve, which could have allowed remote code execution on some platforms (boo#1029017)

The following non-security changes are included :

  - Add checks to prevent signature forgeries for very large     messages while using RSA through the PK module in 64-bit     systems.

  - Fixed potential livelock during the parsing of a CRL in     PEM format

遠端主機受到 GLSA-201706-18 中所述的弱點影響 (mbed TLS：多個弱點) 在 mbed TLS 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。影響：遠端攻擊者可能會以處理程序的權限執行任意程式碼，或是造成拒絕服務情形。因應措施：目前尚無已知的因應措施。

远程主机受到 GLSA-201706-18 中所述漏洞的影响（mbed TLS：多个漏洞）在 mbed TLS 中发现多个漏洞。请检查下面引用的 CVE 标识符以了解详细信息。影响：远程攻击者可能以进程的权限执行任意代码，或者造成拒绝服务情况。解决方法：目前无任何已知的解决方法。

The remote host is affected by the vulnerability described in GLSA-201706-18 (mbed TLS: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in mbed TLS. Please review       the CVE identifiers referenced below for details.
  Impact :

    A remote attacker could possibly execute arbitrary code with the       privileges of the process, or cause a Denial of Service condition.
  Workaround :

    There is no known workaround at this time.

- 2.4.2への更新

  - CVE-2017-2784

リリースノート：
https://tls.mbed.org/tech-updates/releases/mbedtls-2.4.2-2.1.7-and-1.3 .19-releasedセキュリティノート：
https://tls.mbed.org/tech-updates/security-advisories/mbedtls-security
-advisory-2017-01

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このmbedtls 1.3.19への更新では、セキュリティ問題とバグが修正されます。

次の脆弱性が修正されました：

CVE-2017-2784：リモートユーザーは、secp224k1曲線を使用して公開キーの妥当性を検証するときに、特別に細工された証明書を使用してmbedtlsにスタック上に割り当てられたバッファを解放させ、一部のプラットフォームでリモートコードを実行する可能性がありました（boo#1029017）

以下の非セキュリティ変更も含まれています：

  - 64ビットシステムのPKモジュールを通してRSAを使用しながら、非常に大きなメッセージの署名偽造を防ぐためのチェックを追加します。

  - PEM形式のCRLの解析中の潜在的なライブロックを修正しました

リモートホストは、GLSA-201706-18（mbed TLS：複数の脆弱性）で説明されている脆弱性による影響を受けます。複数の脆弱性がmbed TLSで発見されています。詳細については、以下に記載されているCVE識別番号を参照してください。影響：リモートの攻撃者が、プロセスの権限で任意のコードを実行したり、サービス拒否状態を引き起こしたりする可能性があります。回避策：現時点では、既知の回避策はありません。

ID	Name	Product	Family	Published	Updated	Severity
101654	Fedora 26 : mbedtls (2017-718154e0f2)	Nessus	Fedora Local Security Checks	7/17/2017	1/6/2021	high
97905	openSUSE Security Update : mbedtls (openSUSE-2017-372)	Nessus	SuSE Local Security Checks	3/23/2017	1/19/2021	high
100944	GLSA-201706-18：mbed TLS：多個弱點 (SLOTH)	Nessus	Gentoo Local Security Checks	6/21/2017	1/11/2021	high
100944	GLSA-201706-18：mbed TLS：多个漏洞 (SLOTH)	Nessus	Gentoo Local Security Checks	6/21/2017	1/11/2021	high
100944	GLSA-201706-18 : mbed TLS: Multiple vulnerabilities (SLOTH)	Nessus	Gentoo Local Security Checks	6/21/2017	1/11/2021	high
97969	Fedora 24 : mbedtls (2017-922652dd9c)	Nessus	Fedora Local Security Checks	3/27/2017	1/6/2021	high
97970	Fedora 25 : mbedtls (2017-9ed1b89530)	Nessus	Fedora Local Security Checks	3/27/2017	1/6/2021	high
101654	Fedora 26：mbedtls（2017-718154e0f2）	Nessus	Fedora Local Security Checks	7/17/2017	1/6/2021	high
97905	openSUSEセキュリティ更新プログラム：mbedtls（openSUSE-2017-372）	Nessus	SuSE Local Security Checks	3/23/2017	1/19/2021	high
100944	GLSA-201706-18：mbed TLS：複数の脆弱性（SLOTH）	Nessus	Gentoo Local Security Checks	6/21/2017	1/11/2021	high
97969	Fedora 24：mbedtls（2017-922652dd9c）	Nessus	Fedora Local Security Checks	3/27/2017	1/6/2021	high
97970	Fedora 25：mbedtls（2017-9ed1b89530）	Nessus	Fedora Local Security Checks	3/27/2017	1/6/2021	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high

high

high

high

high