🥇Уязвимости в GnuPG, които позволяват обход на верификацията и изпълнение на свой код

На конференцията 39C3 (Chaos Communication Congress), която се провежда в Германия, бяха разкрити детайли за 12 преди неразкрити и все още не поправени (0-day) уязвимости в инструмента GnuPG (GNU Privacy Guard). Този инструмент предоставя съвместими със стандартите OpenPGP и S/MIME утилити за шифроване на данни, работа с електронни подписи, управление на ключове и достъп до публични хранилища на ключове. Най-опасните уязвимости позволяват заобикаляне на проверката на цифровата подпис и изпълнение на код при обработка на шифровани данни в ASCII представяне (ASCII Armor). Работещи прототипи на експлойти и пачове ще бъдат публикувани по-късно. CVE идентификатори все още не са назначени.

Уязвимостите са причинени от грешки в кода за обработка на данни и парсиране на формати и не са свързани с пробиви в криптоалгоритмите. Например, грешка в парсера води до срив при определянето на фактически подписаните данни и създава условия, при които проверяваните данни могат да не съвпадат с подписаните, позволявайки на атакуващия да замени открития текст без достъп до частния ключ.

Открити проблеми:

Грешка в кода на парсера на шифровани данни, разпространявани в формат ASCII-Armor (текстови файлове с блок 'BEGIN/END PGP ARMORED FILE'), води до запис в област на паметта извън границите на буфера. Проблемът може да доведе до изпълнение на код при обработка в gpg на специално подготвени данни. Уязвимостта се проявява в функцията armor_filter() и е причинена от двойно увеличаване на брояча 'n' в цикъла 'for' — въпреки указанието 'n++' в самия цикъл, броячът се увеличава и в тялото на цикъла при записването на данни в буфера 'buf[n++]'. В крайна сметка извън буфера се записва излишен байт, а променливата с размер 'ret_len' се задава на стойност, превишаваща фактическото.
Възможността за създаване или перезаписване на всеки файл, доколкото позволяват текущите права за достъп, поради некоректна обработка на съдържанието на полето 'filename' в пакета с данни. Уязвимостта може да се използва за организиране на изпълнение на код в системата при изпълнение на командите 'gpg --decrypt poc.enc' и 'gpg poc.enc' за преглед на изпратения от атакуващия файл poc.enc. Изпълнението на кода може да бъде постигнато, например, чрез създаване на файлове ~/.bash_completion или ~/.ssh/authorized_keys.
Възможност за замяна на открития текст, показван на потребителя при указване на опцията «—decrypt» и верификация с използването на отделно предоставени цифрови подписи (Detached Signature, създавани с опцията «—detach-sig» и предоставяни в отделен sig-файл). Същността на проблема е, че при отделна изпратеност на съобщението и sig-файла, атакуващият, контролиращ междинния трафик (MITM), може да направи промени в sig-файла, след които верификацията остава успешна, но при прегледа на съобщението от sig-файла с помощта на опцията «—decrypt» ще бъде изведено различно съдържание. echo Plaintext > plaintext gpg —detach-sig plaintext # промяна plaintext.sig от атакуващия с добавяне на допълнителен текст gpg —verify plaintext.sig plaintext # верифицирано gpg —decrypt plaintext.sig # верифицирано, но се извежда друг текст
Възможност за допълване на подписано съобщение с произволни данни, запазвайки успешната проверка на подписа. Проблемът възниква поради отрязването на данни при границата от 20000 символа при изчисляването на хеша.
Некоректна проверка на кодовете за аутентифицирано криптиране (MDC — Modification Detection Codes), позволяваща да се манипулират криптирани пакети така, че при дешифрирането полученият контент да бъде обработен като друг тип пакет (например, приет като предназначен за публикуване открит ключ).
Възможност за подмяна на допълнителни данни в CS-подписите (Cleartext Signature), създадени с използването на флага «—not-dash-escaped» или конвертирани от отделно предоставени подписи (Detached Signature). Уязвимостта може да се използва за създаване на у потребителя фалшиво впечатление за това какви данни са били действително подписани. Например, потребителят може да изтегли от надеждни източници коректен ключ за проверка на цифровата подписка, но атакуващият по време на MITM-атака може да подмени изтегления от потребителя iso-образ и да добави в подписа на образа допълнителен хеш, по такъв начин, че верификацията на подменения образ да премине успешно при наличието в системата на проверочен коректен ключ.
Подмяна на допълнителни данни в ASCII-представлението на CS-подписа (Cleartext Signature) чрез вмъкване на символ с нулев код. Уязвимостта, например, позволява вмъкване на произволен текст в заглавката на Hash.
Неправилното тълкуване на формата OpenPGP, при което съобщението «One-Pass Signed Message» в ASCII-кодирания формат може да бъде обработено като «Cleartext Signature» при определени изменения в заглавката. Уязвимостта позволява заменяне на оригиналните подписани данни с злонамерено съдържание, запазвайки видимостта на успешна верификация.
Липсата на ясно разграничение в извеждането на информация за успешността на проверката на цифровия подпис и съдържанието на съобщението, което позволява създаването на фалшиви неподписани съобщения, които при изпълнение на «gpg —decrypt» изглеждат като автентични.
Възможността за създаване на OpenPGP съобщения, които в gpg ще бъдат обработени по различен начин, отколкото в другите реализации на OpenPGP. Проблемът е причинен от особеностите на обработката на много дълги редове в ASCII представление на OpenPGP данни.
Създаване на условия в процеса на верификация на цифровия подпис за обратно откат на алгоритъма за проверка на хеш до несигурния SHA1.
Възможността за подмяна на собствените вторични ключове (subkey) без тяхната авторизация, използвайки частния компонент на основния ключ. Атаката се осъществява чрез добавяне на фалшиво хранилище на ключове с помощта на опцията «—keyring».

Допълнително са открити две уязвимости в minisign, опростен инструментариум за създаване и проверка на цифрови подписи. И двете уязвимости (1, 2) позволяват използването на управляващи последователности на терминала («\e[1E») или специални символи («\r») в полето за коментари, за да се модифицира извода на програмата, например, за замяна на информацията за резултата от верификацията.

Източник: opennet.ru

Уязвимости в GnuPG, позволяващи заобикаляне на верификацията и изпълнение на собствен код