GnuPG haavatavused, mis võimaldavad verifikatsiooni vältimist ja oma koodi täitmist

Saksamaal toimuval 39C3 (Chaos Communication Congress) konferentsil avaldati detailid 12 varem tundmatu ja jätkuvalt parandamata (0-päeva) haavatavuse kohta GnuPG (GNU Privacy Guard) tööriistades, mis pakuvad OpenPGP ja S/MIME standarditega ühilduvaid utiliite andmete krüptimiseks, digitaalsete allkirjade haldamiseks ja avalike võtmehoidlate juurde pääsemiseks. Ohtlikumad haavatavused võimaldavad mööda minna digitaalallkirja kontrollist ja saavutada koodi käitamine ASCII-esitamiseks (ASCII Armor) krüptitud andmete töötlemisel. Töötavaid exploite ja patše lubatakse hiljem avaldada. CVE-identifikaatoreid pole veel määratud.

Haavatavused on põhjustatud vigadest andmete töötlemise ja vormingute analüüsi koodis ning need ei ole seotud krüptoalgoritmide puudustega. Näiteks viga parseris põhjustab tõrke, kui tuvastatakse tegelikult allkirjastatud andmeid, ja loob tingimused, kus kontrollitavad andmed võivad mitte kokku langeda allkirjastatud andmetega, mis võimaldab ründajal asendada selget teksti ilma juurdepääsuta privaatvõtmele.

Tuvastatud probleemid:

• Paranduskood vihjes krüptitud andmete parsimise viga, mis levivad ASCII-Armor formaadis (tekstid, millel on plokid «BEGIN/END PGP ARMORED FILE»), viib mälupiiri ületava salvestamiseni. Probleem võib võimaldada koodi täitmist, kui gpg töötleb spetsiaalselt vormindatud andmeid. Haavatavus ilmneb funktsioonis armor_filter() ja on põhjustatud „n” loenduri kahekordse suurendamise tõttu for-tsüklis — vaatamata „n++” määramisele tsüklis, suureneb loendur ka tsükli kehas, kui andmeid kirjutatakse puhvri „buf[n++]” sisse. Selle tulemusena salvestatakse puhvri piiridest välja täiendav bait ning muutujaks „ret_len” seatakse väärtus, mis ületab tegeliku.
• Võimalus luua või kirjutada üle mõni fail, kui seda lubavad praegused ligipääsuõigused, valesti Töötlemise tõttu andmepaketi „filename” välja sisu. Haavatavust võib kasutada koodi täitmise korraldamiseks süsteemis, kui vastuvõtja täidab käske „gpg —decrypt poc.enc” ja „gpg poc.enc” rünnakust saatja saadetud faili poc.enc vaatamiseks. Koodi täitmist on võimalik saavutada näiteks luues faile ~/.bash_completion või ~/.ssh/authorized_keys.
• Valik, mis võimaldab muuta avatud teksti, mida kasutajale kuvatakse, kui määratakse valik „—decrypt” ja kontrollimine eraldi edastatud digitaalsete allkirjade abil (Detached Signature, luuakse valiku „—detach-sig” abil ja edastatakse eraldi sig-failina). Probleemi olemus seisneb selles, et sõnumi ja sig-faili eraldi saatmise korral võib ründaja, kes kontrollib vahepealset liiklust (MITM), teha sig-failis muudatusi, mille järel kontrollimine jääb edukaks, kuid „—decrypt” valiku abil sig-failist sõnumit vaadates kuvatakse teine sisu. echo Plaintext > plaintext gpg —detach-sig plaintext # ründaja muudab plaintext.sig, lisades täiendava teksti gpg —verify plaintext.sig plaintext # kontrollitud gpg —decrypt plaintext.sig # kontrollitud, kuid kuvatakse teine tekst
• Võimalus lisada allkirjastatud sõnumisse suvalisi andmeid, säilitades allkirja edukat kontrollimist. Probleem tekib andmete lõikamisest 20000 tähemärgi piiril räsimise arvutamisel.
• Vale valev koodide kontrollimine, mis on autentimise krüpteerimise (MDC — Modification Detection Codes) konteksti konfigureerimine, mis võimaldab manipuleerida krüpteeritud pakettidega nii, et dekrüpteerimisel töödeldakse saadud sisu teise tüüpi pakettina (näiteks peetakse seda avaliku võtmena, mis on mõeldud avaldamiseks).
• Võimalus lisada täiendavaid andmeid CS-allkirjadesse (Cleartext Signature), mis on loodud lipuga „—not-dash-escaped“ või konverteeritud eraldi lisatud allkirjadest (Detached Signature). Ohutuspuudus võib kasutada, et luua kasutajale vale mulje, millised andmed tegelikult allkirjastatud on. Näiteks võib kasutaja allalaadida usaldusväärsetest allikatest korrektse võtme digitaalallkirja kontrollimiseks, kuid ründaja võib MITM-rünnaku käigus asendada kasutaja alla laaditud ISO-pildi ja lisada pildi allkirjale täiendava räsihoodi, nii et muudetud pildi kontrollimine õnnestub, kui süsteemis on olemas kontrollimiseks korrektne võti.
• Lisainformatsiooni sisestamine ASCII-esituses CS-allkirja (Cleartext Signature) kaudu, kasutades nullkoodi sümbolit. Turvanõrkus võimaldab näiteks sisestada suvalist teksti Hashi päisesse.
• Vale OpenPGP formaadi tõlgendamine, mille tõttu "One-Pass Signed Message" ASCII-kodeeritud formaadis võib teatud header'i muutuste korral töödelda kui "Cleartext Signature" sõnumit. Turvanõrkus võimaldab asendada originaali allkirjastatud andmed kuritahtliku sisuga, säilitades näiliselt eduka kontrollimise.
• Selge eristumise puudumine digitaalallkirja kontrollimise edu ja sõnumi sisu vahel, mis võimaldab luua vale allkirjadeta sõnumeid, mis käivitamisel "gpg --decrypt" näevad välja nagu ehtsad.
• Võimalus luua OpenPGP sõnumeid, mida gpg töötleb teisiti kui teised OpenPGP teostused. Probleem tuleneb väga pikkade ridade töötlemise eripäradest ASCII-esituses OpenPGP andmete puhul.
• Digitaalallkirja kontrollimise protsessis tingimuste loomine, mis võimaldab hash-kontrolli algoritmi tagasi pöörata ebaturvalisele SHA1-ile.
• Võimalus sisestada oma teiseseid võtmeid (subkey) ilma nende autoriseerimiseta, kasutades privaatset master key komponenti. Rünnak toimub vale võtmehoidla lisamise kaudu, kasutades valikut «—keyring».

Lisaks on avastatud kaks haavatavust minisignis, lihtsustatud tööriistakomplektis digiallkirjade loomiseks ja kontrollimiseks. Mõlemad haavatavused (1, 2) võimaldavad kasutada terminali juhtimisjärgude («\e[1E») või erimärke («\r») kommentaariväljas, et muuta programmi väljundit, näiteks asendades valideerimise tulemuse teavet.

Allikas: opennet.ru