In de LibKSBA-bibliotheek, ontwikkeld door het GnuPG-project en biedt functies voor het werken met X.509-certificaten, is een kritieke kwetsbaarheid (CVE-2022-3515) ontdekt, die leidt tot een integer overflow en het overschrijven van willekeurige gegevens buiten de toegewezen buffer bij het parseren van ASN.1-structuren die worden gebruikt in S/MIME, X.509 en CMS. Het probleem wordt verergerd doordat de Libksba-bibliotheek wordt gebruikt in het GnuPG-pakket en de kwetsbaarheid kan leiden tot remote code execution van de aanvaller bij het verwerken van versleutelde of ondertekende gegevens in GnuPG (gpgsm) vanuit bestanden of e-mails die S/MIME gebruiken. In het eenvoudigste geval is het voldoende om een speciaal opgemaakte e-mail te sturen naar een slachtoffer dat een e-mailclient met GnuPG en S/MIME ondersteunt.
De kwetsbaarheid kan ook worden gebruikt voor aanvallen op dirmngr-servers die verantwoordelijk zijn voor het downloaden en parseren van lijsten met ingetrokken certificaten (CRL's) en het verifiëren van certificaten die worden toegepast in TLS. Een aanval op dirmngr kan worden uitgevoerd vanuit webserver, gecontroleerd door de aanvaller, door speciaal opgemaakte CRL's of certificaten af te geven. Er is opgemerkt dat er momenteel geen publiek beschikbare exploits voor gpgsm en dirmngr zijn, maar de kwetsbaarheid is type-specifiek en er staat niets een gekwalificeerde aanvaller in de weg om zelf een exploit voor te bereiden.
De kwetsbaarheid is verholpen in de release van Libksba 1.6.2 en in de binaire builds van GnuPG 2.3.8. In Linux-distributies wordt de Libksba-bibliotheek meestal als een afzonderlijke afhankelijkheid geleverd, terwijl deze in de builds voor Windows in het hoofdinstallatiepakket met GnuPG is ingebed. Vergeet na de update niet om de achtergrondprocessen opnieuw te starten met het commando "gpgconf —kill all". Om te controleren of het probleem aanwezig is, kunt u de uitvoer van het commando "gpgconf —show-versions" bekijken en de waarde van de regel "KSBA ...." beoordelen, waarin de versie 1.6.2 of hoger moet worden vermeld.
Updates voor de distributies zijn nog niet uitgebracht, maar u kunt de beschikbaarheid ervan volgen op de pagina's: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD. De kwetsbaarheid is ook aanwezig in de MSI- en AppImage-pakketten met GnuPG VS-Desktop en in Gpg4win.
Bron: opennet.ru
