GnuPG жобасы әзірлеген және X.509 сертификаттарымен жұмыс істеу функцияларын қамтамасыз ететін LibKSBA кітапханасында бүтін сандардың толып кетуіне және талдау кезінде бөлінген буферден тыс ерікті деректерді жазуға әкелетін маңызды осалдық анықталды (CVE-2022-3515). S/MIME, X.1 және CMS-те қолданылатын ASN.509 құрылымдары. Мәселе Libksba кітапханасының GnuPG бумасында пайдаланылуымен және осалдық GnuPG (gpgsm) файлдардан немесе электрондық пошта хабарларынан шифрланған немесе қол қойылған деректерді S/MIME көмегімен өңдеген кезде шабуылдаушының қашықтан кодты орындауына әкелуі мүмкін екендігімен қиындады. Ең қарапайым жағдайда, GnuPG және S/MIME қолдайтын электрондық пошта клиенті арқылы жәбірленушіге шабуыл жасау үшін арнайы әзірленген хатты жіберу жеткілікті.
Сондай-ақ осалдық сертификатты қайтарып алу тізімдерін (CRL) жүктеп алатын және талдайтын dirmngr серверлеріне шабуыл жасау үшін және TLS жүйесінде пайдаланылатын куәліктерді тексеру үшін пайдаланылуы мүмкін. Dirmngr-ге шабуыл шабуылдаушы басқаратын веб-серверден, арнайы жасалған CRL немесе сертификаттарды қайтару арқылы жүзеге асырылуы мүмкін. gpgsm және dirmngr үшін жалпыға қолжетімді эксплуатациялар әлі анықталмағаны атап өтілген, бірақ осалдық тән және білікті шабуылдаушыларға эксплойтті өздігінен дайындауға ештеңе кедергі жасамайды.
Осалдық Libksba 1.6.2 шығарылымында және GnuPG 2.3.8 екілік құрылымдарында түзетілді. Linux дистрибутивтерінде Libksba кітапханасы әдетте жеке тәуелділік ретінде жеткізіледі, ал Windows құрастыруларында ол GnuPG көмегімен негізгі орнату бумасына салынған. Жаңартудан кейін «gpgconf – kill all» пәрменімен фондық процестерді қайта бастауды ұмытпаңыз. «gpgconf –show-versions» пәрменінің шығысында ақаудың бар-жоғын тексеру үшін «KSBA ....» жолын бағалауға болады, ол кемінде 1.6.2 нұсқасын көрсетуі керек.
Дистрибуцияларға арналған жаңартулар әлі шығарылған жоқ, бірақ олардың қолжетімділігін мына беттерде бақылай аласыз: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD. Сондай-ақ осалдық GnuPG VS-Desktop бар MSI және AppImage бумаларында және Gpg4win жүйесінде бар.
Ақпарат көзі: opennet.ru