Január 28-án felfedeztek egy 0-napos sebezhetőséget vulnerability a libgcrypt kriptográfiai könyvtárban, amelyet Tavis Ormandy, a Google Project Zero szakértői csoportjának tagja fedezett fel.
A sebezhetőség csak a 1.9.0 verziót érinti (amelyet az upstream FTP-szerveren átneveztek, hogy elkerüljék a véletlen letöltést). A kódban lévő hibás feltételezések miatt buffer túlcsordulás lehetséges, ami távoli kódfuttatáshoz vezethet. A túlcsordulás az adatok visszafejtése során, még a hitelesítés és az aláírás ellenőrzése előtt történhet, ami megkönnyíti a kihasználását.
A 1.9.1 verzió patch a sebezhetőség bejelentése után egy nappal került kiadásra. A hiba egy sikertelen optimalizálásból eredt majdnem 2 évvel ezelőtt. Január 28-án felfedeztek egy 0-napos sebezhetőséget a libgcrypt kriptográfiai könyvtárban, amelyet Tavis Ormandy, a Project Zero szakértői csoportjának tagja fedezett fel.
Forrás: linux.org.ru
