In der Bibliothek LibKSBA, die von dem Projekt GnuPG entwickelt wird und Funktionen für die Arbeit mit X.509-Zertifikaten bereitstellt, wurde eine kritische Sicherheitsanfälligkeit (CVE-2022-3515) festgestellt, die zu einer ganzzahligen Überlauf und zu einer Schreiboperation von beliebigen Daten außerhalb des zugewiesenen Puffers beim Parsen von ASN.1-Strukturen führt, die in S/MIME, X.509 und CMS verwendet werden. Das Problem wird dadurch verschärft, dass die Libksba-Bibliothek im GnuPG-Paket verwendet wird und die Sicherheitsanfälligkeit zu einer Remote-Codeausführung durch den Angreifer führen kann, wenn in GnuPG (gpgsm) verschlüsselte oder signierte Daten aus Dateien oder E-Mails, die S/MIME verwenden, verarbeitet werden. Für den einfachsten Fall reicht es aus, eine speziell gestaltete E-Mail an ein Opfer zu senden, das einen E-Mail-Client mit Unterstützung für GnuPG und S/MIME verwendet.
Die Sicherheitsanfälligkeit kann auch verwendet werden, um Angriffe auf dirmngr-Server zu starten, die für das Herunterladen und Parsen von Listen widerrufener Zertifikate (CRLs) sowie die Überprüfung von Zertifikaten, die in TLS verwendet werden, zuständig sind. Ein Angriff auf dirmngr kann aus einem Webservervon einem Angreifer kontrollierten Kontext erfolgen, indem speziell gestaltete CRLs oder Zertifikate bereitgestellt werden. Es wurde festgestellt, dass es bisher keine öffentlich verfügbaren Exploits für gpgsm und dirmngr gibt, aber die Sicherheitsanfälligkeit ist typischer Natur und es gibt nichts, was qualifizierten Angreifern verbietet, einen Exploit selbst vorzubereiten.
Die Sicherheitsanfälligkeit wurde in der Version Libksba 1.6.2 und in den binären Builds von GnuPG 2.3.8 behoben. In Linux-Distributionen wird die Libksba-Bibliothek in der Regel als separate Abhängigkeit bereitgestellt, während sie in Builds für Windows im Hauptinstallationspaket mit GnuPG integriert ist. Nach dem Update sollte man nicht vergessen, die Hintergrundprozesse mit dem Befehl „gpgconf —kill all“ neu zu starten. Um das Vorhandensein des Problems zu überprüfen, kann der Wert der Zeile „KSBA …“ in der Ausgabe des Befehls „gpgconf —show-versions“ bewertet werden, in der die Version 1.6.2 oder höher angegeben sein sollte.
Updates für die Distributionen wurden bisher nicht veröffentlicht, aber man kann deren Erscheinen auf den Seiten verfolgen: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD. Die Sicherheitsanfälligkeit ist auch in MSI- und AppImage-Paketen mit GnuPG VS-Desktop und in Gpg4win vorhanden.
Quelle: opennet.ru
