Op 28 januari werd een 0-day ontdekt kwetsbaarheid in de cryptografische bibliotheek libgcrypt door Tavis Ormandy van Project Zero (een groep beveiligingsspecialisten van Google die zoeken naar 0-day kwetsbaarheden).
Alleen versie 1.9.0 is kwetsbaar (nu hernoemd op de upstream ftp-server om per ongeluk downloaden te voorkomen). Vanwege verkeerde aannames in de code is een bufferoverloop mogelijk, die leidt tot de mogelijkheid van externe code-uitvoering. De overflow kan optreden tijdens het ontsleutelen van gegevens vóór de verificatie en handtekeningcontrole, wat de exploitatie vergemakkelijkt.
Versie 1.9.1 met correctie werd de volgende dag uitgebracht na het rapport over de kwetsbaarheid. De bug ontstond als gevolg van een mislukte optimalisatie van de hash schrijffunctie bijna 2 jaar geleden. Op 28 januari werd een 0-day kwetsbaarheid ontdekt in de cryptografische bibliotheek libgcrypt door Tavis Ormandy van Project Zero (een groep specialisten).
Bron: linux.org.ru
