V knihovně LibKSBA, vyvíjené projektem GnuPG a poskytující funkce pro práci s certifikáty X.509, byla zjištěna kritická zranitelnost (CVE-2022-3515), která vede k přetečení celého čísla a zápisu libovolných dat za hranice vyhrazeného bufferu při analýze struktur ASN.1 používaných ve S/MIME, X.509 a CMS. Problém je umocněn tím, že knihovna Libksba je používána v balící GnuPG a zranitelnost může vést k vzdálenému vykonání kódu útočníka při zpracování v GnuPG (gpgsm) zašifrovaných nebo podepsaných dat z souborů nebo e-mailových zpráv využívajících S/MIME. V nejjednodušším případě je pro útok na oběť, která používá poštovního klienta s podporou GnuPG a S/MIME, dostatečné poslat speciálně vytvořený e-mail.
Zranitelnost lze také využít pro útoky na servery dirmngr, které se zabývají stahováním a analýzou seznamů odvolaných certifikátů (CRLs) a ověřováním certifikátů používaných v TLS. Útok na dirmngr může být proveden z webového serveru, útočníkem kontrolované, pomocí dodání speciálně vytvořených CRL nebo certifikátů. Lze konstatovat, že veřejně dostupné exploity pro gpgsm a dirmngr zatím nebyly identifikovány, ale zranitelnost je typová a nic nebrání kvalifikovaným útočníkům připravit exploit samostatně.
Zranitelnost byla odstraněna ve verzi Libksba 1.6.2 a v binárních sestavách GnuPG 2.3.8. V distribucích Linux je knihovna Libksba obvykle dodávána jako samostatná závislost, zatímco v instalacích pro Windows je integrována do hlavního instalačního balíčku s GnuPG. Po aktualizaci nezapomeňte restartovat pozadí procesů pomocí příkazu „gpgconf —kill all“. Pro ověření existence problému v výstupu příkazu „gpgconf —show-versions“ můžete posoudit hodnotu řádku „KSBA ….“, který by měl uvádět verzi nejméně 1.6.2.
Aktualizace pro distribuce zatím nebyly vydány, ale můžete sledovat jejich dostupnost na stránkách: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD. Zranitelnost se také nachází v balících MSI a AppImage s GnuPG VS-Desktop a v Gpg4win.
Zdroj: opennet.ru
