LibKSBA ಲೈಬ್ರರಿಯಲ್ಲಿ, GnuPG ಪ್ರಾಜೆಕ್ಟ್‌ನಿಂದ ಅಭಿವೃದ್ಧಿಪಡಿಸಲಾಗಿದೆ ಮತ್ತು X.509 ಪ್ರಮಾಣಪತ್ರಗಳೊಂದಿಗೆ ಕೆಲಸ ಮಾಡಲು ಕಾರ್ಯಗಳನ್ನು ಒದಗಿಸುತ್ತದೆ, ನಿರ್ಣಾಯಕ ದುರ್ಬಲತೆಯನ್ನು ಗುರುತಿಸಲಾಗಿದೆ (CVE-2022-3515), ಇದು ಪೂರ್ಣಾಂಕದ ಉಕ್ಕಿ ಹರಿಯಲು ಕಾರಣವಾಗುತ್ತದೆ ಮತ್ತು ಪಾರ್ಸಿಂಗ್ ಮಾಡುವಾಗ ನಿಗದಿಪಡಿಸಿದ ಬಫರ್‌ಗಿಂತ ಅನಿಯಂತ್ರಿತ ಡೇಟಾವನ್ನು ಬರೆಯುತ್ತದೆ. ASN.1 ರಚನೆಗಳನ್ನು S/MIME, X.509 ಮತ್ತು CMS ನಲ್ಲಿ ಬಳಸಲಾಗಿದೆ. GnuPG ಪ್ಯಾಕೇಜ್‌ನಲ್ಲಿ Libksba ಲೈಬ್ರರಿಯನ್ನು ಬಳಸಲಾಗಿದೆ ಎಂಬ ಅಂಶದಿಂದ ಸಮಸ್ಯೆ ಉಲ್ಬಣಗೊಂಡಿದೆ ಮತ್ತು S/MIME ಬಳಸಿಕೊಂಡು ಫೈಲ್‌ಗಳು ಅಥವಾ ಇಮೇಲ್ ಸಂದೇಶಗಳಿಂದ GnuPG (gpgsm) ಎನ್‌ಕ್ರಿಪ್ಟ್ ಮಾಡಿದ ಅಥವಾ ಸಹಿ ಮಾಡಿದ ಡೇಟಾವನ್ನು ಪ್ರಕ್ರಿಯೆಗೊಳಿಸಿದಾಗ ಆಕ್ರಮಣಕಾರರಿಂದ ರಿಮೋಟ್ ಕೋಡ್ ಎಕ್ಸಿಕ್ಯೂಶನ್‌ಗೆ ದುರ್ಬಲತೆ ಕಾರಣವಾಗಬಹುದು. ಸರಳವಾದ ಸಂದರ್ಭದಲ್ಲಿ, GnuPG ಮತ್ತು S/MIME ಅನ್ನು ಬೆಂಬಲಿಸುವ ಇಮೇಲ್ ಕ್ಲೈಂಟ್ ಅನ್ನು ಬಳಸಿಕೊಂಡು ಬಲಿಪಶುವಿನ ಮೇಲೆ ದಾಳಿ ಮಾಡಲು, ವಿಶೇಷವಾಗಿ ವಿನ್ಯಾಸಗೊಳಿಸಿದ ಪತ್ರವನ್ನು ಕಳುಹಿಸಲು ಸಾಕು.
ಪ್ರಮಾಣಪತ್ರ ಹಿಂತೆಗೆದುಕೊಳ್ಳುವಿಕೆ ಪಟ್ಟಿಗಳನ್ನು (CRLs) ಡೌನ್‌ಲೋಡ್ ಮಾಡುವ ಮತ್ತು ಪಾರ್ಸ್ ಮಾಡುವ ಮತ್ತು TLS ನಲ್ಲಿ ಬಳಸಿದ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಪರಿಶೀಲಿಸುವ dirmngr ಸರ್ವರ್‌ಗಳ ಮೇಲೆ ದಾಳಿ ಮಾಡಲು ದುರ್ಬಲತೆಯನ್ನು ಬಳಸಬಹುದು. ವಿಶೇಷವಾಗಿ ವಿನ್ಯಾಸಗೊಳಿಸಿದ CRL ಗಳು ಅಥವಾ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಹಿಂದಿರುಗಿಸುವ ಮೂಲಕ ಆಕ್ರಮಣಕಾರರಿಂದ ನಿಯಂತ್ರಿಸಲ್ಪಡುವ ವೆಬ್ ಸರ್ವರ್‌ನಿಂದ dirmngr ಮೇಲೆ ದಾಳಿಯನ್ನು ನಡೆಸಬಹುದು. gpgsm ಮತ್ತು dirmngr ಗಾಗಿ ಸಾರ್ವಜನಿಕವಾಗಿ ಲಭ್ಯವಿರುವ ಶೋಷಣೆಗಳನ್ನು ಇನ್ನೂ ಗುರುತಿಸಲಾಗಿಲ್ಲ ಎಂದು ಗಮನಿಸಲಾಗಿದೆ, ಆದರೆ ದುರ್ಬಲತೆಯು ವಿಶಿಷ್ಟವಾಗಿದೆ ಮತ್ತು ಅರ್ಹ ದಾಳಿಕೋರರು ತಮ್ಮದೇ ಆದ ಶೋಷಣೆಯನ್ನು ಸಿದ್ಧಪಡಿಸುವುದನ್ನು ಯಾವುದೂ ತಡೆಯುವುದಿಲ್ಲ.
ದುರ್ಬಲತೆಯನ್ನು Libksba 1.6.2 ಬಿಡುಗಡೆಯಲ್ಲಿ ಮತ್ತು GnuPG 2.3.8 ಬೈನರಿ ಬಿಲ್ಡ್‌ಗಳಲ್ಲಿ ನಿವಾರಿಸಲಾಗಿದೆ. Linux ವಿತರಣೆಗಳಲ್ಲಿ, Libksba ಲೈಬ್ರರಿಯನ್ನು ಸಾಮಾನ್ಯವಾಗಿ ಪ್ರತ್ಯೇಕ ಅವಲಂಬನೆಯಾಗಿ ಸರಬರಾಜು ಮಾಡಲಾಗುತ್ತದೆ ಮತ್ತು ವಿಂಡೋಸ್ ಬಿಲ್ಡ್‌ಗಳಲ್ಲಿ ಇದನ್ನು GnuPG ಯೊಂದಿಗೆ ಮುಖ್ಯ ಅನುಸ್ಥಾಪನ ಪ್ಯಾಕೇಜ್‌ನಲ್ಲಿ ನಿರ್ಮಿಸಲಾಗಿದೆ. ನವೀಕರಣದ ನಂತರ, "gpgconf -kill all" ಆಜ್ಞೆಯೊಂದಿಗೆ ಹಿನ್ನೆಲೆ ಪ್ರಕ್ರಿಯೆಗಳನ್ನು ಮರುಪ್ರಾರಂಭಿಸಲು ಮರೆಯದಿರಿ. "gpgconf -show-versions" ಆಜ್ಞೆಯ ಔಟ್‌ಪುಟ್‌ನಲ್ಲಿ ಸಮಸ್ಯೆಯ ಉಪಸ್ಥಿತಿಯನ್ನು ಪರಿಶೀಲಿಸಲು, ನೀವು "KSBA ...." ಎಂಬ ಸಾಲನ್ನು ಮೌಲ್ಯಮಾಪನ ಮಾಡಬಹುದು, ಅದು ಕನಿಷ್ಟ 1.6.2 ರ ಆವೃತ್ತಿಯನ್ನು ಸೂಚಿಸಬೇಕು.
ವಿತರಣೆಗಳಿಗಾಗಿ ನವೀಕರಣಗಳನ್ನು ಇನ್ನೂ ಬಿಡುಗಡೆ ಮಾಡಲಾಗಿಲ್ಲ, ಆದರೆ ನೀವು ಪುಟಗಳಲ್ಲಿ ಅವುಗಳ ಲಭ್ಯತೆಯನ್ನು ಟ್ರ್ಯಾಕ್ ಮಾಡಬಹುದು: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD. GnuPG VS-ಡೆಸ್ಕ್‌ಟಾಪ್‌ನೊಂದಿಗೆ MSI ಮತ್ತು AppImage ಪ್ಯಾಕೇಜ್‌ಗಳಲ್ಲಿ ಮತ್ತು Gpg4win ನಲ್ಲಿಯೂ ದುರ್ಬಲತೆ ಇರುತ್ತದೆ.
ಮೂಲ: opennet.ru