LibKSBA ਵਿੱਚ ਕਮਜ਼ੋਰੀ GnuPG ਵਿੱਚ S/MIME ਪ੍ਰੋਸੈਸਿੰਗ ਦੌਰਾਨ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਵੱਲ ਲੈ ਜਾਂਦੀ ਹੈ

LibKSBA ਲਾਇਬ੍ਰੇਰੀ ਵਿੱਚ ਇੱਕ ਮਹੱਤਵਪੂਰਨ ਕਮਜ਼ੋਰੀ (CVE-2022-3515) ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਹੈ, ਜੋ GnuPG ਪ੍ਰੋਜੈਕਟ ਦੁਆਰਾ ਵਿਕਸਤ ਕੀਤੀ ਗਈ ਹੈ ਅਤੇ X.509 ਸਰਟੀਫਿਕੇਟਾਂ ਨਾਲ ਕੰਮ ਕਰਨ ਲਈ ਫੰਕਸ਼ਨ ਪ੍ਰਦਾਨ ਕਰਦੀ ਹੈ। ਇਹ ਕਮਜ਼ੋਰੀ S/MIME, X.509, ਅਤੇ CMS ਵਿੱਚ ਵਰਤੇ ਗਏ ASN.1 ਢਾਂਚਿਆਂ ਨੂੰ ਪਾਰਸ ਕਰਦੇ ਸਮੇਂ ਇੱਕ ਪੂਰਨ ਅੰਕ ਓਵਰਫਲੋ ਅਤੇ ਸੀਮਾ ਤੋਂ ਬਾਹਰ ਲਿਖਣ ਵੱਲ ਲੈ ਜਾਂਦੀ ਹੈ। ਇਹ ਮੁੱਦਾ ਇਸ ਤੱਥ ਦੁਆਰਾ ਹੋਰ ਵੀ ਵਧ ਜਾਂਦਾ ਹੈ ਕਿ Libksba ਨੂੰ GnuPG ਪੈਕੇਜ ਵਿੱਚ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਕਮਜ਼ੋਰੀ ਰਿਮੋਟ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਵੱਲ ਲੈ ਜਾ ਸਕਦੀ ਹੈ ਜਦੋਂ GnuPG (gpgsm) S/MIME ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਫਾਈਲਾਂ ਜਾਂ ਈਮੇਲ ਸੁਨੇਹਿਆਂ ਤੋਂ ਏਨਕ੍ਰਿਪਟਡ ਜਾਂ ਦਸਤਖਤ ਕੀਤੇ ਡੇਟਾ ਨੂੰ ਪ੍ਰਕਿਰਿਆ ਕਰਦਾ ਹੈ। ਸਭ ਤੋਂ ਸਰਲ ਸਥਿਤੀ ਵਿੱਚ, GnuPG ਅਤੇ S/MIME ਦਾ ਸਮਰਥਨ ਕਰਨ ਵਾਲੇ ਈਮੇਲ ਕਲਾਇੰਟ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਪੀੜਤ ਦੇ ਵਿਰੁੱਧ ਹਮਲਾ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤੀ ਈਮੇਲ ਭੇਜਣ ਲਈ ਕਾਫ਼ੀ ਹੈ।

ਇਸ ਕਮਜ਼ੋਰੀ ਦੀ ਵਰਤੋਂ dirmngr ਸਰਵਰਾਂ 'ਤੇ ਹਮਲਾ ਕਰਨ ਲਈ ਵੀ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ, ਜੋ ਸਰਟੀਫਿਕੇਟ ਰਿਵੋਕੇਸ਼ਨ ਲਿਸਟਾਂ (CRLs) ਨੂੰ ਡਾਊਨਲੋਡ ਅਤੇ ਪਾਰਸ ਕਰਦੇ ਹਨ ਅਤੇ TLS ਵਿੱਚ ਵਰਤੇ ਗਏ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕਰਦੇ ਹਨ। dirmngr 'ਤੇ ਹਮਲਾ ਇਸ ਦੁਆਰਾ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਵੈੱਬ ਸਰਵਰ, ਇੱਕ ਹਮਲਾਵਰ ਦੁਆਰਾ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤੇ CRL ਜਾਂ ਸਰਟੀਫਿਕੇਟ ਵੰਡ ਕੇ ਨਿਯੰਤਰਿਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਇਹ ਨੋਟ ਕੀਤਾ ਗਿਆ ਹੈ ਕਿ gpgsm ਅਤੇ dirmngr ਲਈ ਅਜੇ ਤੱਕ ਕੋਈ ਜਨਤਕ ਤੌਰ 'ਤੇ ਉਪਲਬਧ ਸ਼ੋਸ਼ਣਾਂ ਦੀ ਪਛਾਣ ਨਹੀਂ ਕੀਤੀ ਗਈ ਹੈ, ਪਰ ਕਮਜ਼ੋਰੀ ਆਮ ਹੈ ਅਤੇ ਕੁਝ ਵੀ ਹੁਨਰਮੰਦ ਹਮਲਾਵਰਾਂ ਨੂੰ ਆਪਣੇ ਸ਼ੋਸ਼ਣ ਨੂੰ ਵਿਕਸਤ ਕਰਨ ਤੋਂ ਨਹੀਂ ਰੋਕਦਾ।

Libksba 1.6.2 ਦੇ ਰੀਲੀਜ਼ ਅਤੇ GnuPG 2.3.8 ਦੇ ਬਾਈਨਰੀ ਬਿਲਡਾਂ ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਨੂੰ ਠੀਕ ਕੀਤਾ ਗਿਆ ਸੀ। ਵੰਡਾਂ ਵਿੱਚ Linux ਲਿਬਕਸਬਾ ਲਾਇਬ੍ਰੇਰੀ ਆਮ ਤੌਰ 'ਤੇ ਇੱਕ ਵੱਖਰੀ ਨਿਰਭਰਤਾ ਦੇ ਤੌਰ 'ਤੇ ਸਪਲਾਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਅਤੇ ਇਸਦੇ ਲਈ ਬਿਲਡਾਂ ਵਿੱਚ Windows ਮੁੱਖ GnuPG ਇੰਸਟਾਲੇਸ਼ਨ ਪੈਕੇਜ ਵਿੱਚ ਬਣਾਇਆ ਗਿਆ ਹੈ। ਅੱਪਡੇਟ ਕਰਨ ਤੋਂ ਬਾਅਦ, "gpgconf --kill all" ਕਮਾਂਡ ਨਾਲ ਬੈਕਗ੍ਰਾਊਂਡ ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਮੁੜ ਚਾਲੂ ਕਰਨਾ ਯਾਦ ਰੱਖੋ। ਸਮੱਸਿਆ ਦੀ ਮੌਜੂਦਗੀ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ, ਤੁਸੀਂ "gpgconf --show-versions" ਕਮਾਂਡ ਦੇ ਆਉਟਪੁੱਟ ਦੀ ਜਾਂਚ "KSBA...." ਲਾਈਨ ਦੀ ਭਾਲ ਕਰਕੇ ਕਰ ਸਕਦੇ ਹੋ, ਜੋ ਕਿ 1.6.2 ਤੋਂ ਘੱਟ ਨਾ ਹੋਣ ਵਾਲੇ ਸੰਸਕਰਣ ਨੂੰ ਦਰਸਾਉਂਦੀ ਹੈ।

ਡਿਸਟ੍ਰੀਬਿਊਸ਼ਨਾਂ ਲਈ ਅੱਪਡੇਟ ਅਜੇ ਜਾਰੀ ਨਹੀਂ ਕੀਤੇ ਗਏ ਹਨ, ਪਰ ਤੁਸੀਂ ਹੇਠਾਂ ਦਿੱਤੇ ਪੰਨਿਆਂ 'ਤੇ ਉਹਨਾਂ ਦੀ ਦਿੱਖ ਨੂੰ ਟਰੈਕ ਕਰ ਸਕਦੇ ਹੋ: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD। ਇਹ ਕਮਜ਼ੋਰੀ GnuPG VS-Desktop ਅਤੇ Gpg4win ਵਾਲੇ MSI ਅਤੇ AppImage ਪੈਕੇਜਾਂ ਨੂੰ ਵੀ ਪ੍ਰਭਾਵਿਤ ਕਰਦੀ ਹੈ।

ਸਰੋਤ: opennet.ru