Уязвимости в GnuPG, позволяващи заобикаляне на верификацията и изпълнение на собствен код

На провежданата в Германия конференция 39C3 (Chaos Communication Congress) бяха разкрити детайли за 12 досега неизвестни и все още неизправени (0-day) уязвимости в инструмента за защитена комуникация GnuPG (GNU Privacy Guard), който предлага съвместими със стандартите OpenPGP и S/MIME утилити за шифроване на данни, работа с електронни подписи, управление на ключове и достъп до публични хранилища на ключове. Най-опасните уязвимости позволяват заобикаляне на проверката на цифровия подпис и изпълнение на код при обработка на шифровани данни в ASCII представяне (ASCII Armor). Работни прототипи на експлойт и патчове обещават да бъдат публикувани по-късно. CVE идентификатори все още не са присвоени.

Уязвимостите са причинени от грешки в кода за обработка на данни и парсинг на формати и не са свързани с пропуски в криптографските алгоритми. Например, грешка в парсера води до срив при определяне на фактически подписаните данни и създава условия, при които проверяваните данни могат да не съвпадат с подписаните данни, позволявайки на атакуващия да подмени отворения текст без достъп до приватния ключ.

Идентифицированные проблемы:

• Грешка в кода на парсера на шифровани данни, разпространявани в формат ASCII-Armor (текстови файлове с блок 'BEGIN/END PGP ARMORED FILE'), водеща до запис извън границите на буфера. Проблемът може да доведе до изпълнение на код при обработка в gpg на специално оформени данни. Уязвимостта се проявява в функцията armor_filter() и е причинена от двойно увеличаване на брояча 'n' в цикъла 'for' — независимо от указанието 'n++' в самия цикъл, броячът се увеличава и в тялото на цикъла при запис на данни в буфера 'buf[n++]'. В крайна сметка извън буфера се записва излишен байт, а променливата с размера 'ret_len' заема стойност, надхвърляща фактическата.
• Възможността за създаване или презапис на всеки файл, в рамките на текущите права за достъп, поради некоректна обработка на съдържанието на полето 'filename' в пакет с данни. Уязвимостта може да се използва за организиране на изпълнение на код в системата при изпълнение на командите 'gpg —decrypt poc.enc' и 'gpg poc.enc' за преглед на изпратения от атакуващия файл poc.enc. Изпълнението на кода може да се постигне, например, чрез създаване на файлове ~/ .bash_completion или ~/ .ssh/authorized_keys.
• Възможността за подмяна на открития текст, показван на потребителя при указване на опция «—decrypt» и проверка с помощта на отделно предоставени цифрови подписи (Detached Signature, създават се с опция «—detach-sig» и се предоставят в отделен sig-файл). Същността на проблема е, че при отделно изпращане на съобщение и sig-файл, атаки, контролиращи междинния трафик (MITM), могат да внесат промени в sig-файла, след което проверката остава успешно, но при преглед на съобщението от sig-файла с помощта на опцията «—decrypt» ще бъде изведено различно съдържание. echo Plaintext > plaintext gpg —detach-sig plaintext # промяна plaintext.sig от атакуващия с добавяне на допълнителен текст gpg —verify plaintext.sig plaintext # проверено gpg —decrypt plaintext.sig # проверено, но излиза различен текст
• Възможността за допълване на подписано съобщение с произволни данни, запазвайки успешната проверка на подписа. Проблемът възниква заради отрязването на данни по границата от 20000 знака при изчисляване на хеш.
• Некоректна проверка на кодовете за аутентифицирано криптиране (MDC — Modification Detection Codes), позволяваща манипулиране на криптирани пакети по такъв начин, че при декриптиране полученото съдържание ще бъде обработено като друг тип пакет (например, възприето като предназначено за публикуване открит ключ).
• Възможността за подмяна на допълнителни данни в CS-подписите (Cleartext Signature), създадени с помощта на флага «—not-dash-escaped» или конвертирани от отделно поставени подписи (Detached Signature). Уязвимостта може да се използва, за да създаде у потребителя фалшиво впечатление за това, какви данни всъщност са били подписани. Например, потребителят може да изтегли от достоверни източници правилния ключ за проверка на цифровия подпис, но атакуващият по време на MITM-атака може да подмени изтегления от потребителя iso-образ и да добави в подписа към образа допълнителен хеш, по такъв начин, че проверката на подменения образ да премине успешно при наличие в системата на проверочния правилен ключ.
• Подмяна на допълнителни данни в ASCII-представянето на CS-подписа (Cleartext Signature) чрез вмъкване на символ с нулев код. Уязвимостта, например, позволява вмъкване на произволен текст в заглавието Hash.
• Неправилното тълкуване на формата OpenPGP води до ситуация, при която съобщението „One-Pass Signed Message“ в ASCII-кодирания формат може да бъде обработено като „Cleartext Signature“ при определени изменения в заглавката. Уязвимостта позволява замяна на оригиналните подписани данни с злонамерено съдържание, запазвайки видимостта за успешна верификация.
• Липсата на ясно разграничение в информацията за успешността на проверката на цифровата подпись и съдържанието на съобщението позволява създаването на фалшиви неподписани съобщения, които при изпълнение на „gpg —decrypt“ изглеждат като автентични.
• Възможността за създаване на OpenPGP-съобщения, които в gpg ще бъдат обработвани по различен начин, отколкото в другите реализации на OpenPGP. Проблемът е породен от особеностите при обработката на много дълги редове в ASCII-представянето на OpenPGP-данни.
• Създаване на условия по време на верификацията на цифровата подпись за откат на алгоритма за проверка на хеш до небезопасния SHA1.
• Възможност за подмяна на собствените вторични ключове (subkey) без тяхното одобрение, използвайки приватния компонент на мастер-ключа. Атаката се осъществява чрез добавяне на фалшив хранилище на ключовете с опцията „—keyring“.

Допълнително са идентифицирани две уязвимости в minisign, опростен инструментариум за създаване и проверки на цифрови подписи. И двете уязвимости (1, 2) позволяват използването на контролни последователности на терминала („\e[1E“) или специални символи („\r“) в полето за коментар, за да се модифицира изходът на програмата, например, за замяна на информацията за резултата от верификацията.

Източник: opennet.ru