rilascio dello strumento (GNU Privacy Guard), compatibile con gli standard OpenPGP () e S/MIME, fornendo strumenti per la crittografia dei dati, gestione delle firme elettroniche, gestione delle chiavi e accesso ai repository di chiavi pubbliche. Nella nuova versione è stata corretta una vulnerabilità critica (), che si manifesta a partire dalla versione 2.2.21 e sfruttabile importando una chiave OpenPGP appositamente formattata.
L'importazione di una chiave con un elenco di algoritmi AEAD formattato in modo specifico può portare a un overflow dell'array e a un crash o comportamento indefinito. Si osserva che creare un exploit che porti non solo al crash è un compito complesso, ma tale possibilità non è esclusa. La principale difficoltà nello sviluppo dell'exploit è che l'attaccante può controllare solo ogni secondo byte della sequenza, mentre il primo byte è sempre impostato a 0x04. I sistemi di distribuzione del software con verifica tramite chiavi digitali sono al sicuro, poiché utilizzano un elenco di chiavi predefinito.
Fonte: opennet.ru
