I biblioteket LibKSBA, udviklet af GnuPG-projektet og som tilbyder funktioner til arbejde med X.509-certifikater, er der identificeret en kritisk sårbarhed (CVE-2022-3515), som fører til integer overflow og skrivning af vilkårlige data uden for den tildelte buffer ved parsing af ASN.1-strukturer, der anvendes i S/MIME, X.509 og CMS. Problemet forværres af, at Libksba-biblioteket bruges i GnuPG-pakken, og sårbarheden kan føre til fjernudførelse af onde kode ved behandling af krypterede eller signerede data fra filer eller e-mails, der anvender S/MIME. I enkleste tilfælde for at angribe et offer, der bruger en e-mail-klient med GnuPG og S/MIME-support, er det tilstrækkeligt at sende en specielt udformet e-mail.
Sårbarheden kan også udnyttes til at angribe dirmngr-servere, der håndterer download og parsing af revokerede certifikatlister (CRL'er) og verifikation af certifikater, der anvendes i TLS. Angrebet på dirmngr kan udføres fra webserveren, en server kontrolleret af en hacker, ved at sende specielt udformede CRL'er eller certifikater. Det bemærkes, at der endnu ikke er identificeret offentligt tilgængelige exploits for gpgsm og dirmngr, men sårbarheden er typisk, og der er intet, der forhindrer kvalificerede angribere i at forberede en exploit selv.
Sårbarheden er blevet rettet i version 1.6.2 af Libksba og i binære builds af GnuPG 2.3.8. I Linux-distributioner leveres Libksba-biblioteket normalt som en separat afhængighed, mens det i Windows-builds er integreret i hovedinstallationspakken med GnuPG. Efter opdatering skal man ikke glemme at genstarte baggrundsprocesserne med kommandoen „gpgconf —kill all“. For at kontrollere tilstedeværelsen af problemet i output fra kommandoen „gpgconf —show-versions“ kan man vurdere værdien af strengen „KSBA ….“, hvor versionen skal være minimum 1.6.2.
Opdateringer til distributioner er endnu ikke udgivet, men man kan følge med i deres komme på siderne: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD. Sårbarheden er også til stede i MSI- og AppImage-pakkerne med GnuPG VS-Desktop og Gpg4win.
Kilde: opennet.ru
