GnuPG プロジェクトによって開発され、X.509 証明書を操作するための機能を提供する LibKSBA ライブラリに、解析時に整数オーバーフローが発生し、割り当てられたバッファを超えて任意のデータが書き込まれるという重大な脆弱性が確認されました (CVE-2022-3515)。 S/MIME、X.1、CMS で使用される ASN.509 構造。 この問題は、Libksba ライブラリが GnuPG パッケージで使用されているという事実によってさらに悪化しており、GnuPG (gpgsm) が S/MIME を使用してファイルまたは電子メール メッセージから暗号化または署名されたデータを処理するときに、この脆弱性により攻撃者によるリモート コード実行が引き起こされる可能性があります。 最も単純なケースでは、GnuPG と S/MIME をサポートする電子メール クライアントを使用して被害者を攻撃するには、特別に設計されたレターを送信するだけで十分です。
この脆弱性は、証明書失効リスト (CRL) をダウンロードして解析し、TLS で使用される証明書を検証する dirmngr サーバーを攻撃するために使用される可能性もあります。 dirmngr に対する攻撃は、特別に設計された CRL または証明書の返送を通じて、攻撃者が制御する Web サーバーから実行される可能性があります。 gpgsm および dirmngr の公開されているエクスプロイトはまだ特定されていないことに注意してください。しかし、この脆弱性は典型的なものであり、適格な攻撃者が独自にエクスプロイトを準備することを妨げるものはありません。
この脆弱性は、Libksba 1.6.2 リリースと GnuPG 2.3.8 バイナリ ビルドで修正されました。 Linux ディストリビューションでは、Libksba ライブラリは通常、別個の依存関係として提供され、Windows ビルドでは、GnuPG を使用してメインのインストール パッケージに組み込まれます。 更新後は、必ず「gpgconf –kill all」コマンドを使用してバックグラウンド プロセスを再起動してください。 「gpgconf –show-versions」コマンドの出力に問題があるかどうかを確認するには、「KSBA ....」という行を評価します。これは、少なくとも 1.6.2 のバージョンを示している必要があります。
ディストリビューションのアップデートはまだリリースされていませんが、Debian、Ubuntu、Gentoo、RHEL、SUSE、Arch、FreeBSD のページで入手可能かどうかを追跡できます。 この脆弱性は、GnuPG VS-Desktop の MSI および AppImage パッケージ、および Gpg4win にも存在します。
出所： オープンネット.ru