У бібліятэцы LibKSBA, якая развіваецца праектам GnuPG і якая прадстаўляе функцыі для працы з сертыфікатамі X.509, выяўлена крытычная ўразлівасць (CVE-2022-3515), якая прыводзіць да цэлалікавага перапаўнення і запісы адвольных дадзеных за межы вылучанага буфера пры разборы структур ASN.1, выкарыстоўваных S/MIME, X.509 і CMS. Праблема пагаршаецца тым, што бібліятэка Libksba выкарыстоўваецца ў пакеце GnuPG і ўразлівасць можа прывесці да выдаленага выканання кода атакавалага пры апрацоўцы ў GnuPG (gpgsm) зашыфраваных ці падпісаных дадзеных з файлаў ці паштовых паведамленняў, выкарыстоўвалых S/MIME. У найпростым выпадку для нападу на ахвяру, якая выкарыстоўвае паштовы кліент з падтрымкай GnuPG і S/MIME, дастаткова адправіць спецыяльна аформлены ліст.
Уразлівасць таксама можа выкарыстоўвацца для нападу на серверы dirmngr, якія займаюцца загрузкай і разборам спісаў адкліканых сертыфікатаў (CRLs) і верыфікацыяй сертыфікатаў, якія выкарыстоўваюцца ў TLS. Атака на dirmngr можа быць здзейснена з боку web-сервера, падкантрольнага зламысніку, праз аддачу спецыяльна аформленых CRL або сертыфікатаў. Адзначаецца, што публічна даступных эксплоітаў для gpgsm і dirmngr пакуль не выяўлена, але ўразлівасць тыпавая і ні што не мяшае кваліфікаваным атакавалым падрыхтаваць эксплоіт самастойна.
Уразлівасць ухіленая ў выпуску Libksba 1.6.2 і ў бінарных зборках GnuPG 2.3.8. У дыстрыбутывах Linux бібліятэка Libksba звычайна пастаўляецца ў выглядзе асобнай залежнасці, а ў зборках для Windows убудавана ў асноўны ўсталявальны пакет з GnuPG. Пасля абнаўлення варта не забыцца перазапусціць фонавыя працэсы камандай "gpgconf -kill all". Для праверкі прысутнасці праблемы ў выснове каманды "gpgconf -show-versions" можна ацаніць значэнне радка "KSBA ....", у якім павінна быць указана версія не ніжэй 1.6.2.
Абнаўленні для дыстрыбутываў пакуль не выпушчаныя, але прасачыць за іх з'яўленнем можна на старонках: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD. Уразлівасць таксама прысутнічае ў пакетах MSI і AppImage з GnuPG VS-Desktop і ў Gpg4win.
Крыніца: opennet.ru