نشرت دبيان في 19 مايو 2026 النشرة DSA-6281-1 للحزمة gnutls28، وهي مكتبة GnuTLS الخاصة ببروتوكول TLS، وعالجت فيها 13 ثغرة في دبيان 12 (bookworm) ودبيان 13 (trixie). ويصنّف مشروع GnuTLS أربعاً منها بأنها عالية الخطورة: خطآن في ذاكرة الكومة عند معالجة DTLS، وخلل في ترتيب حزم DTLS، وتجاوز للمصادقة في الخوادم التي تستخدم RSA-PSK. وجاءت هذه النشرة بعد تحديث أصغر في فبراير هو DSA-6140-1.
نظرة سريعة
| البند | التفاصيل |
|---|---|
| الحزمة المصدرية | gnutls28 |
| دبيان 13 (trixie) | الإصلاح في 3.8.9-3+deb13u4 |
| دبيان 12 (bookworm) | الإصلاح في 3.7.9-2+deb12u7 |
| الحزم الثنائية | libgnutls30t64 في trixie أو libgnutls30 في bookworm، إضافة إلى libgnutls-dane0* وlibgnutls-openssl27* وgnutls-bin إن وُجدت |
| الثغرات | 13 ثغرة في إعلان DSA-6281-1، واحدة منها تخص trixie فقط |
| الخطورة | عالية بحسب تصنيف GnuTLS للثغرات CVE-2026-33846 وCVE-2026-33845 وCVE-2026-42009 وCVE-2026-42010 |
| تحديث سابق في 2026 | DSA-6140-1 بتاريخ 18 فبراير 2026 للثغرة CVE-2025-14831 |
ما طبيعة الثغرات
يذكر إعلان دبيان أن هذه الثغرات قد تؤدي إلى تنفيذ شيفرة عشوائية أو حجب الخدمة أو تسرب معلومات أو إساءة استخدام الشهادات أو تجاوز قيود الأسماء أو تجاوز المصادقة أو تجاوز فحص الإلغاء أو هجمات القنوات الجانبية الزمنية. وتصنفها صفحة نشرات GnuTLS الأمنية على النحو التالي:
- أخطاء ذاكرة في DTLS (عالية). الثغرة CVE-2026-33846 كتابة فوق ذاكرة الكومة لأن المكتبة لم تتحقق من اتساق طول الرسالة في أجزاء DTLS، وCVE-2026-33845 نقص حسابي يمكن إطلاقه عن بُعد في إعادة تجميع DTLS ويؤدي إلى تجاوز في الكومة، وCVE-2026-42009 سلوك غير محدد عند ترتيب حزم DTLS ذات أرقام تسلسل مكررة. وتخص هذه الثغرات البرامج التي تستخدم DTLS، أي نسخة TLS العاملة فوق UDP.
- تجاوز مصادقة RSA-PSK (عالية). في الثغرة CVE-2026-42010 كانت الخوادم المهيأة بـ RSA-PSK تطابق أسماء المستخدمين التي تحتوي على محرف NUL مع الأسماء المقطوعة عند ذلك المحرف، مما قد يسمح لعميل بالمصادقة باسم مستخدم آخر.
- فحص الشهادات والأسماء (متوسطة). سمحت CVE-2026-3833 وCVE-2026-42011 بتجاوز قيود الأسماء، وسمحت CVE-2026-42012 وCVE-2026-42013 لبعض الشهادات بالرجوع إلى مطابقة اسم المضيف مع الاسم الشائع Common Name.
- أخطاء ذاكرة في مسارات أقل استخداماً (متوسطة ومنخفضة). CVE-2026-42014 استخدام بعد التحرير عند تغيير رمز PIN في PKCS#11، وCVE-2026-5260 قراءة زائدة من الكومة مع مفاتيح RSA المخزنة على PKCS#11، وCVE-2026-42015 كتابة خارج الحدود في PKCS#12.
- الإلغاء والتوقيت (منخفضة). قد تقبل CVE-2026-3832 شهادة ملغاة من رد OCSP متعدد المدخلات، وCVE-2026-5419 تسرب زمني في فحص حشو PKCS#7. ويشير متتبع دبيان إلى أن CVE-2026-3832 لا تمس bookworm.
أما تحديث فبراير DSA-6140-1 فقد عالج CVE-2025-14831 (متوسطة)، إذ كانت الشهادات التي تحمل عدداً ضخماً من قيود الأسماء تستنزف الموارد، كما عالج إصدار bookworm الثغرة CVE-2025-9820. ولا تظهر أي من هذه الثغرات في قائمة CISA للثغرات المستغلة فعلياً حتى 30 أكتوبر 2026.
هل أنت متأثر؟
مكتبة GnuTLS منتشرة على نطاق واسع، ففي دبيان 12 تعتمد عليها حتى أداة apt عبر libgnutls30، وفي الإصدارين تستخدمها حزم مثل wget وexim4-daemon-light. افحص الإصدار المثبت:
dpkg -l 'libgnutls*' gnutls-bin
apt policy libgnutls30t64 # Debian 13
apt policy libgnutls30 # Debian 12تحتاج إلى 3.8.9-3+deb13u4 على الأقل في trixie أو 3.7.9-2+deb12u7 في bookworm. أما دبيان 11 (bullseye) فقد انتهى دعمه الممتد في 31 أغسطس 2026 وينبغي ترقيته بدلاً من ترقيعه.
طريقة التحديث
sudo apt update
sudo apt upgradeولتحديث المكتبة وحدها في دبيان 13:
sudo apt install --only-upgrade libgnutls30t64وفي دبيان 12 استخدم libgnutls30 بدلاً منها، وأضف حزم GnuTLS الأخرى التي يعرضها dpkg -l حتى تبقى جميعها على الإصدار نفسه. وتختلف حزم أوبونتو، فراجع نشرات أوبونتو الأمنية.
هل تحتاج إلى إعادة تشغيل؟
لا حاجة إلى إعادة تشغيل الخادم، لكن العمليات طويلة التشغيل تحتفظ بالمكتبة القديمة في الذاكرة حتى يُعاد تشغيلها. اعرضها بأداة needrestart وأعد تشغيل ما يظهر، مثل خادم البريد:
sudo needrestart -r l
sudo systemctl restart exim4وإذا ظهرت خدمات كثيرة فإعادة تشغيل مجدولة للخادم هي الخيار الأبسط.
المصادر
- security-tracker.debian.org/tracker/DSA-6281-1
- debian.org/security/2026/dsa-6281
- lists.debian.org/debian-security-announce/2026/msg00192.html
- security-tracker.debian.org/tracker/DSA-6140-1
- debian.org/security/2026/dsa-6140
- lists.debian.org/debian-security-announce/2026/msg00049.html
- gnutls.org/security-new.html
- security-tracker.debian.org/tracker/CVE-2026-3832
- cve.org/CVERecord?id=CVE-2026-33846
- cve.org/CVERecord?id=CVE-2026-33845
- cve.org/CVERecord?id=CVE-2026-42010
- cve.org/CVERecord?id=CVE-2026-42009
- cve.org/CVERecord?id=CVE-2025-14831
- security-tracker.debian.org/tracker/source-package/gnutls28
- packages.debian.org/source/trixie/gnutls28
- packages.debian.org/source/bookworm/gnutls28
- packages.debian.org/bookworm/apt
- packages.debian.org/trixie/exim4-daemon-light
- packages.debian.org/trixie/wget
- manpages.debian.org/trixie/needrestart/needrestart.1.en.html
Comments
0 total · 0 threads