LibKSBA ਵਿੱਚ ਕਮਜ਼ੋਰੀ GnuPG ਵਿੱਚ S/MIME ਪ੍ਰੋਸੈਸਿੰਗ ਦੌਰਾਨ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਵੱਲ ਲੈ ਜਾਂਦੀ ਹੈ

LibKSBA ਲਾਇਬ੍ਰੇਰੀ ਵਿੱਚ, GnuPG ਪ੍ਰੋਜੈਕਟ ਦੁਆਰਾ ਵਿਕਸਤ ਕੀਤਾ ਗਿਆ ਹੈ ਅਤੇ X.509 ਸਰਟੀਫਿਕੇਟਾਂ ਨਾਲ ਕੰਮ ਕਰਨ ਲਈ ਫੰਕਸ਼ਨ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ, ਇੱਕ ਨਾਜ਼ੁਕ ਕਮਜ਼ੋਰੀ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਹੈ (CVE-2022-3515), ਜਿਸ ਨਾਲ ਇੱਕ ਪੂਰਨ ਅੰਕ ਓਵਰਫਲੋ ਹੋ ਜਾਂਦਾ ਹੈ ਅਤੇ ਪਾਰਸ ਕਰਨ ਵੇਲੇ ਨਿਰਧਾਰਤ ਬਫਰ ਤੋਂ ਪਰੇ ਆਰਬਿਟਰਰੀ ਡਾਟਾ ਲਿਖਿਆ ਜਾਂਦਾ ਹੈ। ASN.1 ਢਾਂਚੇ S/MIME, X.509 ਅਤੇ CMS ਵਿੱਚ ਵਰਤੇ ਜਾਂਦੇ ਹਨ। ਸਮੱਸਿਆ ਇਸ ਤੱਥ ਦੇ ਕਾਰਨ ਵਧ ਗਈ ਹੈ ਕਿ Libksba ਲਾਇਬ੍ਰੇਰੀ GnuPG ਪੈਕੇਜ ਵਿੱਚ ਵਰਤੀ ਜਾਂਦੀ ਹੈ ਅਤੇ ਕਮਜ਼ੋਰੀ ਇੱਕ ਹਮਲਾਵਰ ਦੁਆਰਾ ਰਿਮੋਟ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਦਾ ਕਾਰਨ ਬਣ ਸਕਦੀ ਹੈ ਜਦੋਂ GnuPG (gpgsm) S/MIME ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਫਾਈਲਾਂ ਜਾਂ ਈਮੇਲ ਸੁਨੇਹਿਆਂ ਤੋਂ ਏਨਕ੍ਰਿਪਟਡ ਜਾਂ ਹਸਤਾਖਰਿਤ ਡੇਟਾ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦਾ ਹੈ। ਸਧਾਰਨ ਸਥਿਤੀ ਵਿੱਚ, GnuPG ਅਤੇ S/MIME ਦਾ ਸਮਰਥਨ ਕਰਨ ਵਾਲੇ ਈਮੇਲ ਕਲਾਇੰਟ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਪੀੜਤ 'ਤੇ ਹਮਲਾ ਕਰਨ ਲਈ, ਖਾਸ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਪੱਤਰ ਭੇਜਣਾ ਕਾਫ਼ੀ ਹੈ।

ਕਮਜ਼ੋਰੀ ਦੀ ਵਰਤੋਂ dirmngr ਸਰਵਰਾਂ 'ਤੇ ਹਮਲਾ ਕਰਨ ਲਈ ਵੀ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ ਜੋ ਸਰਟੀਫਿਕੇਟ ਰੱਦ ਕਰਨ ਦੀਆਂ ਸੂਚੀਆਂ (CRLs) ਨੂੰ ਡਾਊਨਲੋਡ ਅਤੇ ਪਾਰਸ ਕਰਦੇ ਹਨ ਅਤੇ TLS ਵਿੱਚ ਵਰਤੇ ਗਏ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕਰਦੇ ਹਨ। dirmngr 'ਤੇ ਹਮਲਾ ਇੱਕ ਹਮਲਾਵਰ ਦੁਆਰਾ ਨਿਯੰਤਰਿਤ ਵੈੱਬ ਸਰਵਰ ਤੋਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ, ਖਾਸ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤੇ CRLs ਜਾਂ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਵਾਪਸੀ ਦੁਆਰਾ। ਇਹ ਨੋਟ ਕੀਤਾ ਗਿਆ ਹੈ ਕਿ gpgsm ਅਤੇ dirmngr ਲਈ ਜਨਤਕ ਤੌਰ 'ਤੇ ਉਪਲਬਧ ਸ਼ੋਸ਼ਣਾਂ ਦੀ ਅਜੇ ਤੱਕ ਪਛਾਣ ਨਹੀਂ ਕੀਤੀ ਗਈ ਹੈ, ਪਰ ਕਮਜ਼ੋਰੀ ਆਮ ਹੈ ਅਤੇ ਯੋਗ ਹਮਲਾਵਰਾਂ ਨੂੰ ਆਪਣੇ ਤੌਰ 'ਤੇ ਇੱਕ ਸ਼ੋਸ਼ਣ ਤਿਆਰ ਕਰਨ ਤੋਂ ਕੁਝ ਵੀ ਨਹੀਂ ਰੋਕਦਾ।

ਕਮਜ਼ੋਰੀ ਨੂੰ Libksba 1.6.2 ਰੀਲੀਜ਼ ਅਤੇ GnuPG 2.3.8 ਬਾਈਨਰੀ ਬਿਲਡ ਵਿੱਚ ਫਿਕਸ ਕੀਤਾ ਗਿਆ ਸੀ। ਲੀਨਕਸ ਡਿਸਟਰੀਬਿਊਸ਼ਨਾਂ 'ਤੇ, ਲਿਬਕਸਬਾ ਲਾਇਬ੍ਰੇਰੀ ਨੂੰ ਆਮ ਤੌਰ 'ਤੇ ਇੱਕ ਵੱਖਰੀ ਨਿਰਭਰਤਾ ਵਜੋਂ ਸਪਲਾਈ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਵਿੰਡੋਜ਼ ਬਿਲਡਜ਼ 'ਤੇ ਇਹ GnuPG ਨਾਲ ਮੁੱਖ ਇੰਸਟਾਲੇਸ਼ਨ ਪੈਕੇਜ ਵਿੱਚ ਬਣਾਇਆ ਜਾਂਦਾ ਹੈ। ਅੱਪਡੇਟ ਤੋਂ ਬਾਅਦ, “gpgconf –kill all” ਕਮਾਂਡ ਨਾਲ ਬੈਕਗ੍ਰਾਊਂਡ ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਮੁੜ ਚਾਲੂ ਕਰਨਾ ਯਾਦ ਰੱਖੋ। "gpgconf –show-versions" ਕਮਾਂਡ ਦੇ ਆਉਟਪੁੱਟ ਵਿੱਚ ਸਮੱਸਿਆ ਦੀ ਮੌਜੂਦਗੀ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ, ਤੁਸੀਂ ਲਾਈਨ "KSBA ..." ਦਾ ਮੁਲਾਂਕਣ ਕਰ ਸਕਦੇ ਹੋ, ਜੋ ਕਿ ਘੱਟੋ-ਘੱਟ 1.6.2 ਦੇ ਇੱਕ ਸੰਸਕਰਣ ਨੂੰ ਦਰਸਾਉਂਦੀ ਹੈ।

ਡਿਸਟ੍ਰੀਬਿਊਸ਼ਨਾਂ ਲਈ ਅਪਡੇਟਸ ਅਜੇ ਜਾਰੀ ਨਹੀਂ ਕੀਤੇ ਗਏ ਹਨ, ਪਰ ਤੁਸੀਂ ਪੰਨਿਆਂ 'ਤੇ ਉਹਨਾਂ ਦੀ ਉਪਲਬਧਤਾ ਨੂੰ ਟਰੈਕ ਕਰ ਸਕਦੇ ਹੋ: ਡੇਬੀਅਨ, ਉਬੰਟੂ, ਜੈਂਟੂ, ਆਰਐਚਈਐਲ, ਸੂਸੇ, ਆਰਚ, ਫ੍ਰੀਬੀਐਸਡੀ। ਕਮਜ਼ੋਰੀ GnuPG VS-Desktop ਦੇ ਨਾਲ MSI ਅਤੇ AppImage ਪੈਕੇਜਾਂ ਅਤੇ Gpg4win ਵਿੱਚ ਵੀ ਮੌਜੂਦ ਹੈ।

ਸਰੋਤ: opennet.ru