V knižnici LibKSBA, ktorú vyvíja projekt GnuPG a ktorá poskytuje funkcie na prácu so zariadeniami X.509, bola objavená kritická zraniteľnosť (CVE-2022-3515), ktorá vedie k pretečeniu celého čísla a zápisu voľných dát mimo prideleného vyrovnávacieho priestoru pri analýze štruktúr ASN.1 použitých v S/MIME, X.509 a CMS. Problém je zhoršený tým, že knižnica Libksba sa používa v balíku GnuPG a zraniteľnosť môže viesť k vzdialenému vykonaniu kódu útočníka pri spracovaní v GnuPG (gpgsm) zašifrovaných alebo podpísaných dát z súborov alebo e-mailových správ používajúcich S/MIME. V najjednoduchšom prípade na útok na obeť používajúcu e-mailového klienta s podporou GnuPG a S/MIME stačí poslať špeciálne formátovaný e-mail.
Zraniteľnosť sa môže tiež využiť na útok na servery dirmngr, ktoré sa zaoberajú sťahovaním a analýzou zoznamov odvolaných certifikátov (CRLs) a verifikáciou certifikátov používaných v TLS. Útok na dirmngr môže byť vykonaný zo strany web servera, pod kontrolou útočníka, prostredníctvom poskytovania špeciálne formátovaných CRL alebo certifikátov. Upozorňuje sa, že verejne dostupné exploity pre gpgsm a dirmngr zatiaľ neboli zistené, ale zraniteľnosť je typová a nič nebráni kvalifikovaným útočníkom pripraviť exploit samostatne.
Zraniteľnosť bola odstránená vo verzii Libksba 1.6.2 a v binárnych zostavách GnuPG 2.3.8. V distribúciách Linuxu sa knižnica Libksba zvyčajne dodáva ako samostatná závislosť, pričom v zostavách pre Windows je zabudovaná do hlavného inštalačného balíka s GnuPG. Po aktualizácii je dôležité nezabudnúť reštartovať pozadie príkazom „gpgconf —kill all“. Na overenie prítomnosti problému v výstupe príkazu „gpgconf —show-versions“ možno posúdiť hodnotu riadku „KSBA ....“, v ktorom by mala byť uvedená verzia najmenej 1.6.2.
Aktualizácie pre distribúcie zatiaľ neboli vydané, ale je možné ich sledovať na stránkach: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD. Zraniteľnosť sa tiež nachádza v balíkoch MSI a AppImage s GnuPG VS-Desktop a v Gpg4win.
Zdroj: opennet.ru
