eszközkészlet kiadása (GNU Privacy Guard), amely kompatibilis az OpenPGP () és S/MIME, valamint biztosít eszközöket az adatok titkosításához, elektronikus aláírások kezeléséhez, kulcsok kezeléséhez és publikusan elérhető kulcstárakhoz való hozzáféréshez. Az új verzióban kritikus sebezhetőséget szüntettek meg (), amely a 2.2.21-es verziótól kezdődően jelentkezik, és speciálisan kialakított OpenPGP kulcs importálásakor kihasználható.
A kifejezetten kialakított nagy AEAD-algoritmus-listával rendelkező kulcs importálása tömb túlcsorduláshoz és összeomláshoz vagy meghatározatlan viselkedéshez vezethet. Megjegyzésre méltó, hogy egy olyan exploit létrehozása, amely nem csak összeomlást okoz, összetett feladat, de nem zárható ki. A fejlesztés fő nehézsége az, hogy a támadó csak a byteok minden második elemét tudja irányítani, míg az első byte mindig 0x04 értéket vesz fel. Az olyan szoftvertelepítő rendszerek, amelyek digitális kulcsokkal történő azonosításon alapulnak, nincsenek veszélyben, mivel előre meghatározott kulcslistát használnak.
Forrás: opennet.ru
