发布日期：2008-03-20
更新日期：2008-03-21

受影响系统：

Gentoo Linux

描述：

---

BUGTRAQ  ID: 28350
CVE(CAN) ID: CVE-2008-1383

Gentoo Linux是一套通用的、快捷的、完全免费的Linux版本，面向开发人员和专业网络人员。

Gentoo Linux的ssl-cert.eclass实现上存在漏洞，本地攻击者可能利用此漏洞非授权获取信息。

在ssl-cert.eclass中，docert函数用于生成SSL密钥和SSL证书。如果在src_compile或src_install中使用了docert函数，SSL密钥就会包含在不受保护的binpkg中，任何可以访问系统的用户都可以解压tarball恢复密钥。如果要利用这个漏洞，攻击者必须能够访问使用--buildpkg或--buildpkgonly选项编译的二进制软件包。

<*来源：Robin Johnson
  
  链接：http://secunia.com/advisories/29436/
        https://bugs.gentoo.org/show_bug.cgi?format=multiple&id=174759
        http://security.gentoo.org/glsa/glsa-200803-30.xml
*>

建议：

---

临时解决方法：

* 不要使用预生成的SSL密钥，使用其他CA所生成的密钥。

厂商补丁：

Gentoo
------
Gentoo已经为此发布了一个安全公告（GLSA-200803-30）以及相应补丁:
GLSA-200803-30：ssl-cert eclass: Certificate disclosure
链接：http://security.gentoo.org/glsa/glsa-200803-30.xml

所有Conserver用户都应升级到最新版本：

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=app-admin/conserver-8.1.16"

所有Postfix 2.4用户都应升级到最新版本：

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=mail-mta/postfix-2.4.6-r2"

所有Postfix 2.3用户都应升级到最新版本：

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=mail-mta/postfix-2.3.8-r1"

所有Postfix 2.2 用户都应升级到最新版本：

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=mail-mta/postfix-2.2.11-r1"

所有Netkit FTP Server用户都应升级到最新版本：

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=net-ftp/netkit-ftpd-0.17-r7"

所有ejabberd用户都应升级到最新版本：

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=net-im/ejabberd-1.1.3"

所有UnrealIRCd用户都应升级到最新版本：

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=net-irc/unrealircd-3.2.7-r2"

所有Cyrus IMAP Server用户都应升级到最新版本：

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=net-mail/cyrus-imapd-2.3.9-r1"

所有Dovecot用户都应升级到最新版本：

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=net-mail/dovecot-1.0.10"

所有stunnel 4用户都应升级到最新版本：

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=net-misc/stunnel-4.21"

所有InterNetNews用户都应升级到最新版本：
    # emerge --sync
    # emerge --ask --oneshot --verbose ">=net-nntp/inn-2.4.3-r1"

浏览次数：2948
严重程度：0（网友投票）