Kerentanan dalam LibKSBA yang membawa kepada pelaksanaan kod semasa pemprosesan S/MIME dalam GnuPG

Dalam perpustakaan LibKSBA, yang dibangunkan oleh projek GnuPG dan menyediakan fungsi untuk bekerja dengan sijil X.509, kerentanan kritikal telah dikenal pasti (CVE-2022-3515), yang membawa kepada limpahan integer dan menulis data sewenang-wenang melangkaui penimbal yang diperuntukkan semasa menghuraikan Struktur ASN.1 digunakan dalam S/MIME, X.509 dan CMS. Masalahnya diperburuk oleh fakta bahawa perpustakaan Libksba digunakan dalam pakej GnuPG dan kerentanan boleh membawa kepada pelaksanaan kod jauh oleh penyerang apabila GnuPG (gpgsm) memproses data yang disulitkan atau ditandatangani daripada fail atau mesej e-mel menggunakan S/MIME. Dalam kes paling mudah, untuk menyerang mangsa menggunakan klien e-mel yang menyokong GnuPG dan S/MIME, sudah cukup untuk menghantar surat yang direka khas.

Kerentanan juga boleh digunakan untuk menyerang pelayan dirmngr yang memuat turun dan menghuraikan senarai pembatalan sijil (CRL) dan mengesahkan sijil yang digunakan dalam TLS. Serangan ke atas dirmngr boleh dilakukan dari pelayan web yang dikawal oleh penyerang, melalui pengembalian CRL atau sijil yang direka khas. Dimaklumkan bahawa eksploitasi yang tersedia secara terbuka untuk gpgsm dan dirmngr masih belum dikenal pasti, tetapi kelemahan adalah tipikal dan tiada apa yang menghalang penyerang yang layak daripada menyediakan eksploitasi sendiri.

Kerentanan telah diperbaiki dalam keluaran Libksba 1.6.2 dan dalam binari GnuPG 2.3.8. Pada pengedaran Linux, perpustakaan Libksba biasanya dibekalkan sebagai kebergantungan yang berasingan, dan pada binaan Windows ia terbina dalam pakej pemasangan utama dengan GnuPG. Selepas kemas kini, ingat untuk memulakan semula proses latar belakang dengan arahan "gpgconf –kill all". Untuk menyemak kehadiran masalah dalam output perintah "gpgconf –show-versions", anda boleh menilai baris "KSBA ....", yang mesti menunjukkan versi sekurang-kurangnya 1.6.2.

Kemas kini untuk pengedaran masih belum dikeluarkan, tetapi anda boleh menjejaki ketersediaannya pada halaman: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD. Kerentanan juga terdapat dalam pakej MSI dan AppImage dengan GnuPG VS-Desktop dan dalam Gpg4win.

Sumber: opennet.ru