Säkerhetsluckor i GnuPG som möjliggör överträdelse av verifiering och exekvering av egen kod

Vid den pågående konferensen 39C3 (Chaos Communication Congress) i Tyskland avslöjades detaljer om 12 tidigare okända och fortfarande ohanterade (0-dagars) sårbarheter i verktygen GnuPG (GNU Privacy Guard), som tillhandahåller OpenPGP och S/MIME-kompatibla verktyg för datakryptering, hantering av elektroniska signaturer, nyckelhantering och tillgång till offentliga nyckelförråd. De mest allvarliga sårbarheterna möjliggör att man kringgår kontrollen av den digitala signaturen och åstadkommer exekvering av kod vid behandling av krypterade data i ASCII-representation (ASCII Armor). Funktionella prototyper av exploater och patchar lovas publiceras senare. CVE-id har ännu inte tilldelats.

Sårbarheterna orsakas av fel i koden för databehandling och formatparsing och är inte kopplade till brister i kryptografiska algoritmer. Till exempel leder ett fel i parsern till ett fel vid bestämning av faktiska signerade data och skapar förutsättningar där de kontrollerade uppgifterna kan avvika från de signerade uppgifterna, vilket möjliggör att en angripare kan byta ut klartext utan tillgång till den privata nyckeln.

Identifierade problem:

• Fel i koden för parsern av krypterad data som distribueras i ASCII-Armor-formatet (textfiler med blocket "BEGIN/END PGP ARMORED FILE"), vilket leder till skrivning utanför buffertens gränser. Problemet kan leda till exekvering av kod vid behandling av speciellt formaterade data i gpg. Sårbarheten uppträder i funktionen armor_filter() och orsakas av en dubbelökning av räknaren "n" i "for"-loopen — trots att "n++" anges i själva loopen ökar räknaren även i loopens kropp vid skrivning av data till bufferten "buf[n++]". Resultatet blir att en extra byte skrivs utanför bufferten och variabeln med storleken "ret_len" sätts till ett värde som överskrider det faktiska.
• Möjlighet att skapa eller skriva över en valfri fil, beroende på aktuella åtkomsträttigheter, på grund av felaktig hantering av innehållet i fältet "filename" i datapaketet. Sårbarheten kan utnyttjas för att genomföra exekvering av kod i systemet genom att mottagaren utför kommandona "gpg —decrypt poc.enc" och "gpg poc.enc" för att visa filen poc.enc som skickats av angrepparen. Exekvering av kod kan exempelvis åstadkommas genom att skapa filer ~/.bash_completion eller ~/.ssh/authorized_keys.
• Möjlighet att byta ut den öppna text som visas för användaren vid användning av alternativet „—decrypt“ och verifiering med hjälp av separat tillhandahållna digitala signaturer (Detached Signature, skapas med alternativet „—detach-sig“ och levereras i en separat sig-fil). Problemet är att vid separat skickande av meddelandet och sig-filen kan en angripare som kontrollerar den mellanliggande trafiken (MITM) göra ändringar i sig-filen, vilket gör att verifiering förblir lyckad, men vid visning av meddelandet från sig-filen med alternativet „—decrypt“ kommer ett annat innehåll att visas. echo Plaintext > plaintext gpg —detach-sig plaintext # ändrar plaintext.sig av angriparen genom att lägga till ytterligare text gpg —verify plaintext.sig plaintext # verifierad gpg —decrypt plaintext.sig # verifierad, men ett annat text visas
• Möjlighet att komplettera det signerade meddelandet med valfria data samtidigt som den framgångsrika verifieringen av signaturen upprätthålls. Problemet uppstår på grund av att data kapas vid gränsen 20000 tecken vid hashberäkning.
• Felaktig verifiering av autentiserad krypteringskoder (MDC – Modification Detection Codes), vilket möjliggör manipulering av krypterade paket så att den mottagna innehållet vid dekryptering behandlas som en annan typ av paket (till exempel, uppfattas som avsett för offentlig publicering av den öppna nyckeln).
• Möjlighet att infoga ytterligare data i CS-signaturer (Cleartext Signature) som skapats med hjälp av flaggan „—not-dash-escaped“ eller konverterats från separat tillhandahållna signaturer (Detached Signature). Sårbarheten kan användas för att skapa en falsk uppfattning för användaren om vilka data som faktiskt har signerats. Till exempel kan användaren ladda ner en korrekt nyckel för verifiering av digital signatur från pålitliga källor, men en angripare kan under en MITM-attack ersätta den iso-avbild som användaren laddar ner och lägga till en ytterligare hash i signaturen av avbilden, på ett sådant sätt att verifieringen av den bytta avbilden går igenom framgångsrikt med en korrekt verifieringsnyckel i systemet.
• Infogande av ytterligare data i ASCII-representationen av CS-signaturen (Cleartext Signature) genom att infoga en nolltecken. Sårbarheten möjliggör till exempel insättning av godtycklig text i hashtiteln.
• Ogiltig tolkning av OpenPGP-format som gör att meddelandet „One-Pass Signed Message“ i ASCII-kodad format kan behandlas som ett „Cleartext Signature“ med vissa ändringar i rubriken. Sårbarheten tillåter att byta ut de ursprungliga signerade data mot skadligt innehåll, samtidigt som verifikationen ser ut att ha lyckats.
• Brist på tydlig avgränsning i utdata av information om framgången av verifieringen av den digitala signaturen och meddelandets innehåll, vilket möjliggör skapande av falska osignerade meddelanden som vid körning av „gpg —decrypt“ ser ut som äkta.
• Möjlighet att skapa OpenPGP-meddelanden som i gpg hanteras annorlunda än i andra OpenPGP-implementationer. Problemet orsakas av hur mycket långa rader behandlas i ASCII-representationen av OpenPGP-data.
• Skapande av förhållanden i verifieringsprocessen för den digitala signaturen som återställer hash-algoritmen till den osäkra SHA1.
• Möjlighet att substituera sina egna sekundära nycklar (subkey) utan deras auktorisering med hjälp av den privata delen av huvudnyckeln. Attacken genomförs genom att lägga till ett falskt nyckellager med hjälp av alternativet „—keyring“.

Ytterligare två sårbarheter har upptäckts i minisign, ett förenklat verktyg för att skapa och verifiera digitala signaturer. Båda sårbarheterna (1, 2) tillåter användning av terminalstyrenheter („\e[1E“) eller specialtecken („\r“) i kommentarsfältet för att modifiera programmets utdata, till exempel för att ersätta verifikationsresultatinformation.

Källa: opennet.ru