V knižnici LibKSBA vyvinutej projektom GnuPG a poskytujúcej funkcie pre prácu s certifikátmi X.509 bola identifikovaná kritická zraniteľnosť (CVE-2022-3515), ktorá vedie k pretečeniu celého čísla a zapisovaniu ľubovoľných údajov mimo pridelenej vyrovnávacej pamäte pri analýze. Štruktúry ASN.1 používané v S/MIME, X.509 a CMS. Problém zhoršuje skutočnosť, že v balíku GnuPG sa používa knižnica Libksba a táto zraniteľnosť môže viesť k vzdialenému spusteniu kódu útočníkom, keď GnuPG (gpgsm) spracováva šifrované alebo podpísané údaje zo súborov alebo e-mailových správ pomocou S/MIME. V najjednoduchšom prípade na napadnutie obete pomocou e-mailového klienta, ktorý podporuje GnuPG a S/MIME, stačí poslať špeciálne navrhnutý list.
Zraniteľnosť možno použiť aj na útok na servery dirmngr, ktoré sťahujú a analyzujú zoznamy zrušených certifikátov (CRL) a overujú certifikáty používané v TLS. Útok na dirmngr môže byť vykonaný z webového servera kontrolovaného útočníkom prostredníctvom vrátenia špeciálne navrhnutých CRL alebo certifikátov. Treba poznamenať, že verejne dostupné exploity pre gpgsm a dirmngr ešte neboli identifikované, ale zraniteľnosť je typická a nič nebráni kvalifikovaným útočníkom v tom, aby si sami pripravili exploit.
Zraniteľnosť bola opravená vo vydaní Libksba 1.6.2 a v binárnych zostavách GnuPG 2.3.8. Na linuxových distribúciách sa knižnica Libksba zvyčajne dodáva ako samostatná závislosť a na zostavách Windows je zabudovaná do hlavného inštalačného balíka s GnuPG. Po aktualizácii nezabudnite reštartovať procesy na pozadí pomocou príkazu „gpgconf –kill all“. Ak chcete skontrolovať prítomnosť problému vo výstupe príkazu „gpgconf –show-versions“, môžete vyhodnotiť riadok „KSBA ....“, ktorý musí označovať verziu aspoň 1.6.2.
Aktualizácie pre distribúcie ešte neboli vydané, no ich dostupnosť môžete sledovať na stránkach: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD. Zraniteľnosť je prítomná aj v balíkoch MSI a AppImage s GnuPG VS-Desktop a v Gpg4win.
Zdroj: opennet.ru