Identificouse unha vulnerabilidade crítica (CVE-509-2022) na biblioteca LibKSBA, desenvolvida polo proxecto GnuPG e que proporciona funcións para traballar con certificados X.3515, o que provoca un desbordamento de enteiros e a escritura de datos arbitrarios máis aló do búfer asignado ao analizar ASN. 1 estruturas utilizadas en S/MIME, X.509 e CMS. O problema vese agravado polo feito de que a biblioteca Libksba se usa no paquete GnuPG e a vulnerabilidade pode levar á execución remota de código por parte dun atacante cando GnuPG (gpgsm) procesa datos cifrados ou asinados de ficheiros ou mensaxes de correo electrónico mediante S/MIME. No caso máis sinxelo, para atacar a unha vítima mediante un cliente de correo electrónico compatible con GnuPG e S/MIME, abonda con enviar unha carta especialmente deseñada.
A vulnerabilidade tamén se pode usar para atacar servidores dirmngr que descargan e analizan listas de revogación de certificados (CRL) e verifican os certificados utilizados en TLS. Un ataque a dirmngr pódese levar a cabo desde un servidor web controlado por un atacante, mediante a devolución de CRL ou certificados especialmente deseñados. Nótase que aínda non se identificaron os exploits dispoñibles publicamente para gpgsm e dirmngr, pero a vulnerabilidade é típica e nada impide que os atacantes cualificados preparen un exploit por si mesmos.
A vulnerabilidade foi corrixida na versión 1.6.2 de Libksba e nas compilacións binarias de GnuPG 2.3.8. Nas distribucións de Linux, a biblioteca Libksba adoita ofrecerse como unha dependencia separada, e nas compilacións de Windows está integrada no paquete de instalación principal con GnuPG. Despois da actualización, recorda reiniciar os procesos en segundo plano co comando "gpgconf –kill all". Para comprobar a presenza dun problema na saída do comando “gpgconf –show-versions”, pode avaliar a liña “KSBA ....”, que debe indicar unha versión de polo menos 1.6.2.
Aínda non se publicaron actualizacións para as distribucións, pero podes seguir a súa dispoñibilidade nas páxinas: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD. A vulnerabilidade tamén está presente nos paquetes MSI e AppImage con GnuPG VS-Desktop e en Gpg4win.
Fonte: opennet.ru