En sårbarhet i LibKSBA som leder till kodexekvering vid hantering av S/MIME i GnuPG

I biblioteket LibKSBA, som utvecklas av GnuPG-projektet och erbjuder funktioner för hantering av X.509-certifikat, har en kritisk sårbarhet (CVE-2022-3515) identifierats, vilket leder till heltalsöverflöd och skrivning av godtyckliga data utanför det allokerade minnet vid analys av ASN.1-strukturer som används i S/MIME, X.509 och CMS. Problemet förvärras av det faktum att biblioteket Libksba används i GnuPG-paketet, och sårbarheten kan leda till fjärrkodexekvering av angriparen vid hantering av krypterad eller signerad data från filer eller e-postmeddelanden som använder S/MIME. I det enklaste fallet räcker det för en attack på en offer som använder en e-postklient som stödjer GnuPG och S/MIME att skicka ett specialformat brev.

Sårbarheten kan även användas för att attackera dirmngr-servrar som hanterar laddning och analys av återkallade certifikat (CRLs) och verifiering av certifikat som används i TLS. Attacken mot dirmngr kan utföras från webbserver., en kontroll av angriparen, genom att skicka specialdesignade CRL eller certifikat. Det noteras att det för närvarande inte har identifierats några offentligt tillgängliga exploits för gpgsm och dirmngr, men sårbarheten är typisk och inget hindrar kvalificerade angripare från att förbereda en exploit själva.

Sårbarheten åtgärdades i version 1.6.2 av Libksba och i binärsamlingar av GnuPG 2.3.8. I Linux-distributioner levereras biblioteket Libksba vanligtvis som ett separat beroende, medan det i Windows-samlingar ingår i huvudinstallationspaketet med GnuPG. Efter uppdatering, glöm inte att starta om bakgrundsprocesserna med kommandot "gpgconf —kill all". För att kontrollera om problemet finns kan man i utskriften av kommandot "gpgconf —show-versions" bedöma värdet i raden "KSBA ....", där versionen ska anges som minst 1.6.2.

Uppdateringar för distributioner har ännu inte släppts, men kan följas på sidorna: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD. Sårbarheten finns också i MSI- och AppImage-paketen med GnuPG VS-Desktop och i Gpg4win.

Källa: opennet.ru