Nella libreria LibKSBA, sviluppata dal progetto GnuPG e che fornisce funzioni per la gestione dei certificati X.509, è stata identificata una vulnerabilità critica (CVE-2022-3515) che porta a un overflow intero e alla scrittura di dati arbitrari al di fuori del buffer allocato durante l'analisi delle strutture ASN.1 utilizzate in S/MIME, X.509 e CMS. La situazione è aggravata dal fatto che la libreria Libksba è utilizzata nel pacchetto GnuPG e la vulnerabilità può portare all'esecuzione remota di codice da parte dell'attaccante durante l'elaborazione in GnuPG (gpgsm) di dati crittografati o firmati provenienti da file o messaggi email che utilizzano S/MIME. Nel caso più semplice, per attaccare una vittima che utilizza un client di posta con supporto per GnuPG e S/MIME, è sufficiente inviare un'email appositamente formattata.
La vulnerabilità può anche essere sfruttata per attaccare i server dirmngr, responsabili del caricamento e della verifica delle liste di revoca dei certificati (CRLs) e della verifica dei certificati utilizzati in TLS. L'attacco a dirmngr può essere effettuato da web server, controllato dall'attaccante, attraverso la consegna di CRL o certificati appositamente formattati. Si segnala che al momento non sono stati identificati exploit pubblicamente disponibili per gpgsm e dirmngr, ma la vulnerabilità è comune e nulla impedisce agli attaccanti qualificati di preparare un exploit autonomamente.
La vulnerabilità è stata corretta nella versione Libksba 1.6.2 e nelle build binarie di GnuPG 2.3.8. Nei pacchetti Linux, la libreria Libksba è generalmente fornita come dipendenza separata, mentre nelle build per Windows è inclusa nel pacchetto di installazione principale di GnuPG. Dopo l'aggiornamento, non dimenticare di riavviare i processi in background con il comando «gpgconf —kill all». Per verificare la presenza del problema nell'output del comando «gpgconf —show-versions», è possibile valutare il valore della stringa «KSBA ….», in cui dovrebbe essere indicata una versione non inferiore a 1.6.2.
Gli aggiornamenti per le distribuzioni non sono ancora stati rilasciati, ma è possibile monitorare la loro disponibilità sulle pagine: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD. La vulnerabilità è presente anche nei pacchetti MSI e AppImage con GnuPG VS-Desktop e in Gpg4win.
Fonte: opennet.ru
