गंभीर भेद्यता समाधान के साथ GnuPG 2.2.23 अद्यतन

प्रकाशित टूलकिट रिलीज़ जीएनयूपीजी 2.2.23 (जीएनयू प्राइवेसी गार्ड), ओपनपीजीपी मानकों के साथ संगत (आरएफसी-4880) और S/MIME, और डेटा एन्क्रिप्शन के लिए उपयोगिताएँ प्रदान करता है, इलेक्ट्रॉनिक हस्ताक्षर, कुंजी प्रबंधन और सार्वजनिक कुंजी स्टोर तक पहुंच के साथ काम करता है। नया संस्करण एक गंभीर भेद्यता को ठीक करता है (CVE-2020-25125), जो संस्करण 2.2.21 से शुरू होता हुआ दिखाई देता है और विशेष रूप से डिज़ाइन की गई ओपनपीजीपी कुंजी आयात करते समय इसका उपयोग किया जाता है।

AEAD एल्गोरिदम की विशेष रूप से डिज़ाइन की गई बड़ी सूची के साथ एक कुंजी आयात करने से सरणी अतिप्रवाह और क्रैश या अपरिभाषित व्यवहार हो सकता है। यह देखा गया है कि ऐसा शोषण बनाना जो न केवल दुर्घटना की ओर ले जाए, एक कठिन कार्य है, लेकिन ऐसी संभावना से इंकार भी नहीं किया जा सकता है। किसी शोषण को विकसित करने में मुख्य कठिनाई इस तथ्य के कारण होती है कि हमलावर केवल अनुक्रम के प्रत्येक दूसरे बाइट को नियंत्रित कर सकता है, और पहला बाइट हमेशा 0x04 मान लेता है। डिजिटल कुंजी सत्यापन वाली सॉफ़्टवेयर वितरण प्रणालियाँ सुरक्षित हैं क्योंकि वे कुंजियों की पूर्वनिर्धारित सूची का उपयोग करती हैं।

स्रोत: opennet.ru