In krityske kwetsberens (CVE-509-2022) is identifisearre yn 'e LibKSBA-bibleteek, ûntwikkele troch it GnuPG-projekt en it leverjen fan funksjes foar it wurkjen mei X.3515-sertifikaten, wat liedt ta heulgetal oerstreaming en it skriuwen fan willekeurige gegevens bûten de tawiisde buffer by it parsearjen fan ASN. 1-struktueren brûkt yn S/MIME, X.509 en CMS. It probleem wurdt fergrutte troch it feit dat de Libksba-biblioteek wurdt brûkt yn it GnuPG-pakket en de kwetsberens kin liede ta útfiering fan koade op ôfstân troch in oanfaller as GnuPG (gpgsm) fersifere of ûndertekene gegevens ferwurket fan bestannen of e-postberjochten mei S/MIME. Yn it ienfâldichste gefal, om in slachtoffer oan te fallen mei in e-postprogramma dy't GnuPG en S/MIME stipet, is it genôch om in spesjaal ûntwurpen brief te stjoeren.
De kwetsberens kin ek brûkt wurde om dirmngr-tsjinners oan te fallen dy't sertifikaatoproplisten (CRL's) downloade en parse en sertifikaten ferifiearje dy't brûkt wurde yn TLS. In oanfal op dirmngr kin útfierd wurde fanút in webserver kontrolearre troch in oanfaller, troch it werombringen fan spesjaal ûntwurpen CRL's of sertifikaten. It wurdt opmurken dat publyklik beskikbere eksploaten foar gpgsm en dirmngr noch net identifisearre binne, mar de kwetsberens is typysk en neat foarkomt dat kwalifisearre oanfallers in eksploitaasje op har eigen tariede.
De kwetsberens waard fêst yn 'e Libksba 1.6.2-release en yn' e GnuPG 2.3.8-binêre builds. Op Linux-distribúsjes wurdt de Libksba-bibleteek normaal levere as in aparte ôfhinklikens, en op Windows-builds is it ynboud yn it haadynstallaasjepakket mei GnuPG. Nei de fernijing, tink om eftergrûnprosessen opnij te begjinnen mei it kommando "gpgconf -kill all". Om te kontrolearjen op de oanwêzigens fan in probleem yn 'e útfier fan it kommando "gpgconf –show-versions", kinne jo de rigel "KSBA ...." evaluearje, dy't in ferzje fan op syn minst 1.6.2 oanjaan moat.
Updates foar distribúsjes binne noch net frijjûn, mar jo kinne har beskikberens folgje op 'e siden: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD. De kwetsberens is ek oanwêzich yn 'e MSI- en AppImage-pakketten mei GnuPG VS-Desktop en yn Gpg4win.
Boarne: opennet.ru