Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en criptografía para una negociación DTLS en GnuTLS (CVE-2020-11501)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-330 Uso de valores insuficientemente aleatorios
Fecha de publicación:
03/04/2020
Última modificación:
07/11/2023

Descripción

GnuTLS versiones 3.6.x anteriores a 3.6.13, usa una criptografía incorrecta para DTLS. La primera versión afectada es 3.6.3 (16-07-2018) debido a un error en un commit del 06-10-2017. El cliente DTLS siempre usa 32 bytes "\0" en lugar de un valor aleatorio y, por lo tanto, no contribuye con la aleatoriedad en una negociación DTLS. Esto rompe las garantías de seguridad del protocolo DTLS.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:gnu:gnutls:*:*:*:*:*:*:*:* 3.6.3 (incluyendo) 3.6.13 (excluyendo)
cpe:2.3:o:canonical:ubuntu_linux:19.10:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:*
cpe:2.3:o:opensuse:leap:15.1:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:31:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:32:*:*:*:*:*:*:*