LibKSBA haavatavus, mis võimaldab koodi täitmist S/MIME töötlemisel GnuPG-s

LibKSBA teeg, mida arendab GnuPG projekt ja mis pakub funktsioone X.509 sertifikaatide haldamiseks, on leitud kriitiline haavatavus (CVE-2022-3515), mis põhjustab täisarvu ülevoolu ja lubamatut andmete kirjutamist eraldatud puhvri piirest, kui analüüsitakse ASN.1 struktuure, mida kasutatakse S/MIME, X.509 ja CMS-is. Probleemi süvendab asjaolu, et Libksba raamatukogu kasutatakse GnuPG paketis ning see haavatavus võib võimaldada ründajal kaugkäe väljakutsumist, kui GnuPG (gpgsm) töötleb S/MIME-de kasutavate failide või e-kirjade krüpteeritud või allkirjastatud andmeid. Lihtsaimal juhul piisab ründamiseks, kui ohver kasutab GnuPG ja S/MIME toega e-posti klienti ning talle saadetakse spetsiaalselt vormistatud kiri.

Haavatavust saab kasutada ka rünnakute jaoks dirmngr serveritele, mis tegelevad tühistatud sertifikaatide (CRL-de) laadimise ja analüüsimise ning TLS-is kasutatavate sertifikaatide valideerimisega. Rünnak dirmngrile võib toimuda ründaja kontrolli all oleva veebiserver, andes spetsiaalselt vormistatud CRL-e või sertifikaate. T märgitakse, et gpgsm ja dirmngr jaoks pole praegu avalikult kergesti kasutatavaid eksploidijaid leitud, kuid haavatavus on tüüpiline ja miski ei takista kvalifitseeritud ründajatel iseseisva eksploidija ettevalmistamist.

Haavatavus on kõrvaldatud Libksba versioonis 1.6.2 ja GnuPG 2.3.8 binaarsetes kogumites. Linuxi distribuutides tarnitakse Libksba raamatukogu tavaliselt eraldi sõltuvusena, samas kui Windowsi kogumites on see integreeritud peamisse GnuPG installipaketti. Pärast uuendamist ärge unustage taustprotsesside uuesti käivitamiseks kasutada käsku „gpgconf —kill all”. Probleemi kontrollimiseks väljakutses „gpgconf —show-versions” saate hinnata rida „KSBA ….”, kus peaks olema näidatud vähemalt 1.6.2 versioon.

Distribution updates ei ole veel välja antud, kuid nende ilmumist saab jälgida lehtedelt: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD. Haavatavus esineb ka GnuPG VS-Desktop MSI ja AppImage paketides ja Gpg4win-is.

Allikas: opennet.ru