Em 28 de janeiro, foi descoberta uma 0-day uma vulnerabilidade na biblioteca criptográfica libgcrypt por Tavis Ormandy do Project Zero (um grupo de especialistas em segurança do Google que buscam vulnerabilidades 0-day).
A vulnerabilidade afeta apenas a versão 1.9.0 (agora renomeada no servidor FTP upstream para evitar download acidental). Devido a suposições incorretas no código, é possível um estouro de buffer, que pode levar à execução remota de código. O estouro pode ocorrer durante a descriptografia de dados antes da validação e verificação de assinatura, o que facilita a exploração.
A versão 1.9.1 com , que foi incluída no núcleo 5.0.8. Na maioria das distribuições, o problema permanece não resolvido ( foi lançada no dia seguinte após a notificação da vulnerabilidade. O bug surgiu como resultado de uma otimização mal sucedida da função de gravação de hash quase 2 anos atrás.
Fonte: linux.org.ru
