Vulnérabilités dans GnuPG permettant de contourner la vérification et d'exécuter son code

Lors de la conférence 39C3 (Chaos Communication Congress) en Allemagne, des détails ont été révélés sur 12 vulnérabilités auparavant inconnues et non corrigées (0-day) dans l'outil GnuPG (GNU Privacy Guard). Cet outil fournit des utilitaires conformes aux normes OpenPGP et S/MIME pour le chiffrement des données, la gestion des signatures électroniques, la gestion des clés et l'accès aux dépôts publics de clés. Les vulnérabilités les plus critiques permettent de contourner la vérification des signatures numériques et d'exécuter du code lors du traitement de données chiffrées au format ASCII (ASCII Armor). Des prototypes d'exploits et des correctifs devraient être publiés ultérieurement. Aucun identifiant CVE n'a encore été attribué.

Les vulnérabilités sont causées par des erreurs dans le code de traitement des données et d'analyse des formats, et ne sont pas liées aux failles dans les algorithmes cryptographiques. Par exemple, une erreur dans le parseur entraîne un échec dans la détermination des données effectivement signées et crée des conditions dans lesquelles les données vérifiées peuvent ne pas coïncider avec les données signées, permettant ainsi à un attaquant de remplacer le texte en clair sans accès à la clé privée.

Problèmes identifiés :

• Une erreur dans le code du parseur des données chiffrées, diffusées au format ASCII-Armor (fichiers texte comportant les blocs « BEGIN/END PGP ARMORED FILE »), entraînant une écriture dans la mémoire en dehors des limites du tampon. Ce problème peut conduire à l'exécution de code lors du traitement dans gpg de données spécialement formatées. La vulnérabilité se manifeste dans la fonction armor_filter() et est causée par l'incrémentation double du compteur « n » dans la boucle « for » — malgré l'indication « n++ » dans la boucle elle-même, le compteur est incrémenté dans le corps de la boucle lors de l'écriture des données dans le tampon « buf[n++] ». Finalement, un octet supplémentaire est écrit en dehors des limites du tampon, et la variable de taille « ret_len » est définie à une valeur dépassant la valeur réelle.
• La possibilité de créer ou de réécrire tout fichier, selon les permissions d'accès actuelles, due à un traitement incorrect du contenu du champ « filename » dans le paquet de données. Cette vulnérabilité peut être exploitée pour exécuter du code sur le système lors de l'exécution par le destinataire des commandes « gpg —decrypt poc.enc » et « gpg poc.enc » pour visualiser le fichier poc.enc envoyé par l'attaquant. L'exécution de code peut être obtenue, par exemple, via la création de fichiers ~/ .bash_completion ou ~/ .ssh/authorized_keys.
• Possibilité de remplacement du texte visible affiché à l'utilisateur lors de l'utilisation de l'option « —decrypt » et de la vérification à l'aide de signatures numériques fournies séparément (Signature Détachée, créées avec l'option « —detach-sig » et fournies dans un fichier sig séparé). Le problème réside dans le fait que lors de l'envoi séparé du message et du fichier sig, un attaquant contrôlant le trafic intermédiaire (MITM) peut apporter des modifications au fichier sig, après quoi la vérification restera réussie, mais en visualisant le message depuis le fichier sig à l'aide de l'option « —decrypt », un contenu différent sera affiché. echo Plaintext > plaintext gpg —detach-sig plaintext # modification plaintext.sig par l'attaquant avec ajout de texte supplémentaire gpg —verify plaintext.sig plaintext # vérifié gpg —decrypt plaintext.sig # vérifié, mais un autre texte est affiché
• Possibilité d'ajouter des données arbitraires à un message signé tout en préservant la vérification réussie de la signature. Le problème survient en raison de la coupure des données à la limite de 20000 caractères lors du calcul du hachage.
• Vérification incorrecte des codes de chiffrement authentifié (MDC - Modification Detection Codes), permettant de manipuler des paquets chiffrés de sorte qu'à la déchiffrement, le contenu obtenu soit traité comme un autre type de paquet (par exemple, perçu comme destiné à la publication d'une clé publique).
• Possibilité d'injecter des données supplémentaires dans les signatures CS (Cleartext Signature), créées à l'aide du drapeau « —not-dash-escaped » ou converties à partir de signatures fournies séparément (Signature Détachée). La vulnérabilité peut être exploitée pour donner à l'utilisateur une fausse impression quant aux données qui ont réellement été signées. Par exemple, l'utilisateur peut télécharger à partir de sources dignes de confiance une clé correcte pour vérifier la signature numérique, mais un attaquant, lors d'une attaque MITM, peut remplacer l'image iso téléchargée par l'utilisateur et ajouter un hachage supplémentaire à la signature de l'image, de sorte que la vérification de l'image falsifiée réussisse en présence d'une clé de vérification correcte dans le système.
• Injection de données supplémentaires dans la représentation ASCII de la signature CS (Cleartext Signature) via l'insertion d'un caractère à code zéro. La vulnérabilité, par exemple, permet d'insérer du texte arbitraire dans l'en-tête Hash.
• Interprétation incorrecte du format OpenPGP, qui permet au message « One-Pass Signed Message » en format ASCII de être traité comme un message « Cleartext Signature » après certaines modifications de l'en-tête. Cette vulnérabilité permet de remplacer les données signées originales par un contenu malveillant tout en conservant l'apparence d'une vérification réussie.
• Absence de séparation explicite dans la sortie d'informations concernant le succès de la vérification de la signature numérique et du contenu du message, permettant de créer de faux messages non signés qui, lors de l'exécution de « gpg --decrypt », ressemblent à des messages authentiques.
• Possibilité de créer des messages OpenPGP qui seront traités différemment dans gpg par rapport à d'autres implémentations d'OpenPGP. Ce problème est causé par une particularité dans le traitement des très longues lignes dans la représentation ASCII des données OpenPGP.
• Création de conditions lors de la vérification de la signature numérique permettant de faire revenir l'algorithme de vérification de hachage à l'insécurisé SHA1.
• Possibilité de substituer ses propres sous-clés sans autorisation en utilisant le composant privé de la clé maîtresse. L'attaque se réalise en ajoutant un faux dépôt de clés via l'option « --keyring ».

Deux vulnérabilités supplémentaires ont été identifiées dans minisign, un outil simplifié pour créer et vérifier des signatures numériques. Les deux vulnérabilités (1, 2) permettent d'utiliser des séquences de contrôle terminal (« \e[1E ») ou des caractères spéciaux (« \r ») dans le champ de commentaire pour modifier la sortie du programme, par exemple, pour remplacer les informations sur le résultat de la vérification.

Source : opennet.ru