NVD / CVE Program· CNA mitre

CVE-2012-1663: Double free vulnerability in libgnutls in GnuTLS before 3.0.14 allows remote attackers to cause a denial of service (application crash) or…

ВысокаяCVSS 7.5 · v2.0—Есть PoC Есть исправление

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 31/100)

Есть публичный код proof-of-concept (Exploit-DB); записей об эксплуатации в реальных атаках нет.
Вероятность эксплуатации в ближайшие 30 дней: 4,8% (FIRST EPSS); выше, чем у 92,2% записей.
Особые условия не требуются; воспроизводится стабильно.
Исправленная версия: gnutls28 (Debian:12) 3.0.14-1.

Пока низкий приоритет. Обновитесь до gnutls28 (Debian:12) 3.0.14-1 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

Double free vulnerability in libgnutls in GnuTLS before 3.0.14 allows remote attackers to cause a denial of service (application crash) or possibly have unspecified other impact via a crafted certificate list.

Без аутентификации

Опубликовано: 13 мар. 2012 г.
Обновлено: 16 июн. 2026 г.
EPSS: 4,8 % · 92-й процентиль
CWE: CWE-399

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 30 / 40 · 7.5 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 1 / 30 · 4,8 %

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Есть PoC, боевого модуля нет
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

Проверьте настройки TLS сервераПроверить SSL

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
gnu	gnutls	cpe:2.3:a:gnu:gnutls

Проверьте настройки TLS сервера

Версию GnuTLS снаружи не видно; бесплатная проверка SSL оценивает сертификат, включённые версии TLS и слабые шифры. Версию уточните на сервере через менеджер пакетов.

Проверить SSL

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

gnu gnutlsдо 3.0.13 включительно
gnu gnutls1.0.16
gnu gnutls1.0.17
gnu gnutls1.0.18
gnu gnutls1.0.19
gnu gnutls1.0.20
gnu gnutls1.0.21
gnu gnutls1.0.22

ещё строк: 12

gnu gnutls1.0.23
gnu gnutls1.0.24
gnu gnutls1.0.25
gnu gnutls1.1.13
gnu gnutls1.1.14
gnu gnutls1.1.15
gnu gnutls1.1.16
gnu gnutls1.1.17
gnu gnutls1.1.18
gnu gnutls1.1.19
gnu gnutls1.1.20
gnu gnutls1.1.21

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
Debian:12	gnutls28	до 3.0.14-1	3.0.14-1

Тот же продукт

gnu: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2017-5334Double free vulnerability in the gnutls_x509_ext_import_proxy function in GnuTLS before 3.3.26 and 3.5.x before 3.5.8 allows remote…
49В плане
CVE-2019-3829A vulnerability was found in gnutls versions from 3.5.8 before 3.6.7.
48В плане
CVE-2008-1948The _gnutls_server_name_recv_params function in lib/ext_server_name.c in libgnutls in gnutls-serv in GnuTLS before 2.2.4 does not properly…
44В плане

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2011-41288 дек. 2011 г. · Buffer overflow in the gnutls_session_get_data function in lib/gnutls_session.c in GnuTLS 2.12.x before 2.12.14 and 3.x before 3.0.7, when…
18Наблюдать
← РаньшеCVE-2012-03905 янв. 2012 г. · The DTLS implementation in GnuTLS 3.0.10 and earlier executes certain error-handling code only if there is a specific relationship between…
17Наблюдать
Позже →CVE-2012-156926 мар. 2012 г. · The asn1_get_length_der function in decoding.c in GNU Libtasn1 before 2.12, as used in GnuTLS before 3.0.16 and other products, does not…
21Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
debian:gnutls28	3.0.14-1 · Debian:12	Реестр пакетов (OSV)

Статус эксплойта

Есть proof of concept

Существует публичный PoC или сигнатура обнаружения. Знание об эксплойте доступно; не откладывайте установку исправлений.

Доказательство

Запись Exploit-DB ×1

Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.

Публичные свидетельства эксплойта
Источник	Тип	Дата
Запись Exploit-DB	dos	2013-03-22

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Публикация13 мар. 2012 г.
Первый PoC22 мар. 2013 г.+373 дн.
Сегодня15 нояб. 2026 г.+5360 дн.

В записи нет: истории EPSS · ссылки на коммит или PR с исправлением · указания авторов находки · кандидатов в варианты и цепочки · публичной программы вознаграждений.