Уязвимост в LibKSBA, водеща до изпълнение на код при обработка на S/MIME в GnuPG

В библиотеката LibKSBA, разработвана от проекта GnuPG и предлагаща функции за работа с сертификати X.509, беше открита критична уязвимост (CVE-2022-3515), водеща до целочислено препълване и запис на произволни данни извън определеното пространство при разбор на структури ASN.1, използвани в S/MIME, X.509 и CMS. Проблемът се задълбочава от факта, че библиотеката Libksba се използва в пакета GnuPG и уязвимостта може да доведе до отдалечено изпълнение на код от страна на атакуващия при обработка на в GnuPG (gpgsm) криптирани или подписани данни от файлове или имейли, които използват S/MIME. В най-простия случай, за да атакува жертва, използваща имейл клиент с поддръжка на GnuPG и S/MIME, е достатъчно да се изпрати специално оформено писмо.

Уязвимостта може да се използва и за атака на сървъри dirmngr, които се занимават с изтегляне и разбор на списъци на отзовани сертификати (CRLs) и верификация на сертификати, използвани в TLS. Атаката срещу dirmngr може да бъде извършена от страна уеб сървър, контролирана от злосторника, чрез предоставяне на специално оформени CRL или сертификати. Отбелязва се, че публично достъпни експлойти за gpgsm и dirmngr все още не са открити, но уязвимостта е типовa и нищо не пречи на квалифицираните атакуващи да подготвят експлойт самостоятелно.

Уязвимостта е отстранена в версия Libksba 1.6.2 и в бинарните сборки на GnuPG 2.3.8. В дистрибуциите на Linux библиотеката Libksba обикновено се предоставя като отделна зависимост, а в сборките за Windows е интегрирана в основния инсталационен пакет с GnuPG. След актуализацията не забравяйте да рестартирате фоновите процеси с командата „gpgconf —kill all“. За проверка на наличието на проблема в изхода от командата „gpgconf —show-versions“ можете да оцените стойността на реда „KSBA ….“, в който трябва да бъде посочена версия не по-ниска от 1.6.2.

Актуализации за дистрибуциите все още не са публикувани, но можете да следите за тях на страниците: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD. Уязвимостта също присъства в пакетите MSI и AppImage с GnuPG VS-Desktop и в Gpg4win.

Източник: opennet.ru