Na biblioteca LibKSBA, desenvolvida pelo projeto GnuPG e que oferece funções para trabalhar com certificados X.509, uma vulnerabilidade crítica (CVE-2022-3515) foi identificada, resultando em um estouro de inteiros e gravação de dados arbitrários além do buffer alocado ao analisar estruturas ASN.1 usadas no S/MIME, X.509 e CMS. O problema é agravado pelo fato de que a biblioteca Libksba é utilizada no pacote GnuPG, e a vulnerabilidade pode levar à execução remota de código do atacante ao processar dados criptografados ou assinados no GnuPG (gpgsm) oriundos de arquivos ou mensagens de e-mail que utilizam S/MIME. No caso mais simples, para atacar uma vítima que usa um cliente de e-mail com suporte a GnuPG e S/MIME, basta enviar uma mensagem especialmente formatada.
A vulnerabilidade também pode ser explorada para atacar servidores dirmngr, que gerenciam o download e análise de listas de certificados revogados (CRLs) e a verificação de certificados aplicáveis no TLS. O ataque ao dirmngr pode ser realizado a partir de servidor web, sob controle do atacante, ao retornar CRLs ou certificados especialmente formatados. Observa-se que ainda não foram identificados exploits disponíveis publicamente para gpgsm e dirmngr, mas a vulnerabilidade é típica e nada impede atacantes qualificados de preparar um exploit por conta própria.
A vulnerabilidade foi corrigida na versão Libksba 1.6.2 e nas compilações binárias do GnuPG 2.3.8. Em distribuições Linux, a biblioteca Libksba geralmente é fornecida como uma dependência separada, enquanto nas compilações para Windows está embutida no pacote principal com o GnuPG. Após a atualização, é importante não esquecer de reiniciar os processos em segundo plano com o comando "gpgconf —kill all". Para verificar se o problema persiste, a saída do comando "gpgconf —show-versions" pode ser avaliada observando o valor da linha "KSBA ....", onde a versão deve ser igual ou superior a 1.6.2.
As atualizações para as distribuições ainda não foram lançadas, mas você pode acompanhar o seu aparecimento nas páginas: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD. A vulnerabilidade também está presente nos pacotes MSI e AppImage com GnuPG VS-Desktop e no Gpg4win.
Fonte: opennet.ru
