Nella libreria LibKSBA, sviluppata dal progetto GnuPG e che fornisce funzioni per lavorare con certificati X.509, è stata identificata una vulnerabilità critica (CVE-2022-3515) che porta a un overflow di interi e alla scrittura di dati arbitrari al di fuori del buffer allocato durante l'analisi delle strutture ASN.1 utilizzate in S/MIME, X.509 e CMS. Il problema è aggravato dal fatto che la libreria Libksba è utilizzata nel pacchetto GnuPG e la vulnerabilità potrebbe consentire l'esecuzione remota di codice da parte di un attaccante durante l'elaborazione in GnuPG (gpgsm) di dati crittografati o firmati provenienti da file o messaggi di posta elettronica che utilizzano S/MIME. Nel caso più semplice, per attaccare una vittima che utilizza un client di posta con supporto per GnuPG e S/MIME, è sufficiente inviare un'email appositamente formattata.
La vulnerabilità può essere sfruttata anche per attaccare i server dirmngr, che si occupano di caricare e analizzare elenchi di certificati revocati (CRL) e di verificare i certificati utilizzati in TLS. L'attacco a dirmngr può essere effettuato da un server web, controllato da un malintenzionato, attraverso l'invio di CRL o certificati appositamente formati. Si segnala che non sono ancora stati identificati exploit pubblicamente disponibili per gpgsm e dirmngr, ma la vulnerabilità è comune e nulla impedisce a un attaccante esperto di preparare un exploit autonomamente.
La vulnerabilità è stata corretta nella versione Libksba 1.6.2 e nelle build binarie di GnuPG 2.3.8. Nelle distribuzioni Linux, la libreria Libksba viene generalmente fornita come dipendenza separata, mentre nelle build per Windows è integrata nel pacchetto di installazione principale con GnuPG. Dopo l'aggiornamento, non dimenticare di riavviare i processi in background con il comando "gpgconf —kill all". Per verificare la presenza del problema, nell'output del comando "gpgconf —show-versions" è possibile controllare il valore della riga "KSBA ....", in cui deve essere indicata una versione non inferiore a 1.6.2.
Gli aggiornamenti per le distribuzioni non sono ancora stati rilasciati, ma è possibile monitorare la loro disponibilità sulle seguenti pagine: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD. La vulnerabilità è presente anche nei pacchetti MSI e AppImage con GnuPG VS-Desktop e in Gpg4win.
Fonte: opennet.ru
