Walidacja certyfikatu może być zgłoszona powodzeniem nawet w przypadkach, gdy istnieje błąd uniemożliwiający wszystkie czynności weryfikacyjne do wykonania.

Atakujący wykorzystując metodę man-in-the-middle (ang. człowiek pośrodku) dla połączenia TLS, może wykorzystać tę lukę do podstawienia starannie spreparowanego certyfikatu, który byłby akceptowany przez GnuTLS za ważny, nawet jeśli jest nie podpisany przez jedną z zaufanych instytucji.

Problem został rozwiązany:

• dla gałęzi starej stabilnej (squeeze) w wersji 2.8.6-1+squeeze3,
• dla gałęzi stabilny (wheezy) w wersji 2.12.20-8+deb7u1,
• dla gałęzi testowej (jessie) i niestabilnej (sid) w wersji 2.12.23-13 dla gnutls26 i 3.2.11-2 dla gnutls28.

Zaleca się aktualizację pakietów gnutls26 i gnutls28

Źródło: https://www.debian.org/security/2014/dsa-2869