LibKSBA मधील असुरक्षा GnuPG मधील S/MIME प्रक्रियेदरम्यान कोडची अंमलबजावणी करण्यास कारणीभूत ठरते

LibKSBA लायब्ररीमध्ये, GnuPG प्रकल्पाद्वारे विकसित आणि X.509 प्रमाणपत्रांसह कार्य करण्यासाठी कार्ये प्रदान करते, एक गंभीर असुरक्षा ओळखली गेली आहे (CVE-2022-3515), ज्यामुळे पूर्णांक ओव्हरफ्लो होतो आणि विश्लेषण करताना वाटप केलेल्या बफरच्या पलीकडे अनियंत्रित डेटा लिहिला जातो. ASN.1 संरचना S/MIME, X.509 आणि CMS मध्ये वापरल्या जातात. GnuPG पॅकेजमध्ये Libksba लायब्ररी वापरली जाते आणि GnuPG (gpgsm) S/MIME वापरून फायली किंवा ईमेल संदेशांवरील कूटबद्ध किंवा स्वाक्षरी केलेल्या डेटावर प्रक्रिया करते तेव्हा असुरक्षिततेमुळे आक्रमणकर्त्याद्वारे रिमोट कोडची अंमलबजावणी होऊ शकते या वस्तुस्थितीमुळे समस्या वाढली आहे. सर्वात सोप्या प्रकरणात, GnuPG आणि S/MIME ला सपोर्ट करणाऱ्या ईमेल क्लायंटचा वापर करून पीडितेवर हल्ला करण्यासाठी, खास डिझाइन केलेले पत्र पाठवणे पुरेसे आहे.

सर्टिफिकेट रिव्होकेशन लिस्ट (CRL) डाउनलोड आणि पार्स करणार्‍या dirmngr सर्व्हरवर हल्ला करण्यासाठी आणि TLS मध्ये वापरलेली प्रमाणपत्रे सत्यापित करण्यासाठी देखील भेद्यतेचा वापर केला जाऊ शकतो. dirmngr वर हल्ला आक्रमणकर्त्याद्वारे नियंत्रित केलेल्या वेब सर्व्हरवरून, खास डिझाइन केलेले CRL किंवा प्रमाणपत्रे परत करून केला जाऊ शकतो. हे नोंदवले गेले आहे की gpgsm आणि dirmngr साठी सार्वजनिकरित्या उपलब्ध शोषण अद्याप ओळखले गेले नाही, परंतु असुरक्षितता वैशिष्ट्यपूर्ण आहे आणि कोणतीही गोष्ट पात्र आक्रमणकर्त्यांना स्वतःहून शोषण तयार करण्यापासून रोखत नाही.

Libksba 1.6.2 प्रकाशन आणि GnuPG 2.3.8 बायनरी बिल्डमध्ये भेद्यता निश्चित केली गेली. लिनक्स वितरणांवर, लिबक्सबा लायब्ररी सहसा स्वतंत्र अवलंबित्व म्हणून पुरवली जाते आणि विंडोज बिल्डवर ती GnuPG सह मुख्य स्थापना पॅकेजमध्ये तयार केली जाते. अद्यतनानंतर, "gpgconf –kill all" कमांडसह पार्श्वभूमी प्रक्रिया पुन्हा सुरू करण्याचे लक्षात ठेवा. “gpgconf –show-versions” कमांडच्या आउटपुटमध्ये समस्येची उपस्थिती तपासण्यासाठी, तुम्ही “KSBA ...” या ओळीचे मूल्यांकन करू शकता, ज्याने किमान 1.6.2 ची आवृत्ती दर्शविली पाहिजे.

वितरणासाठी अद्यतने अद्याप जारी केली गेली नाहीत, परंतु आपण पृष्ठांवर त्यांच्या उपलब्धतेचा मागोवा घेऊ शकता: डेबियन, उबंटू, जेंटू, आरएचईएल, एसयूएसई, आर्क, फ्रीबीएसडी. GnuPG VS-Desktop सह MSI आणि AppImage पॅकेजेस आणि Gpg4win मध्ये देखील भेद्यता आहे.

स्त्रोत: opennet.ru