LibKSBA の脆弱性により、GnuPG でコードが実行される

というニュースが最近流れました 重大な脆弱性が特定されました (すでに CVE-2022-3515 でカタログ化されており、解決策があること) LibKSBA ライブラリ内、GnuPG プロジェクトによって開発され、X.509 証明書を操作するための機能を提供します。

見つかったバグ 整数オーバーフローと任意のデータの書き込みを引き起こす S/MIME、X.1、および CMS で使用される ASN .509 構造を解析するときに、割り当てられたバッファーから不足します。

脆弱性が「重大」と評価される理由は、 問題は悪化する 図書館という事実 Libksba は GnuPG パッケージで使用されており、この脆弱性によりリモートでコードが実行される可能性があります GnuPG (gpgsm) が S/MIME を使用してファイルまたは電子メール メッセージから暗号化または署名されたデータを処理するときに攻撃者から. 最も単純なケースでは、GnuPG と S/MIME をサポートするメール クライアントを使用して被害者を攻撃するには、特別な形式の電子メールを送信するだけで十分です。

S/MIME で使用される ASN.1 構造を解析するために GnuPG で使用されるライブラリ Libksba に重大なバグが見つかりました。 

脆弱性 dirmngr サーバーの攻撃にも使用される可能性があります 証明書失効リスト (CRL) をダウンロードして解析し、TLS で使用される証明書を検証します。 攻撃者が制御する Web サーバーは、CRL または特別に細工された証明書を返すことにより、dirmngr に対する攻撃を実行できます。

それは注意する必要があります gpgsm および dirmngr の公開されたエクスプロイトはまだ特定されていません、しかし脆弱性は典型的なものであり、熟練した攻撃者が自分でエクスプロイトを準備することを妨げるものは何もありません.

Libksba の主なユーザーは、 gpg の S/MIME いとこである gpgsm です。 そこでは、あらゆる種類の入力データ、特にファイルや電子メール内の署名または暗号化されたデータを分析するために使用されます。 したがって、悪意のあるデータをユーザーに提供することは簡単に実現できます。

Libksba の XNUMX 番目のユーザーは dirmngr で、証明書失効リスト (CRL) のロードと解析、および TLS (つまり、https 接続) で使用される証明書の検証を担当します。 攻撃の仕掛けはもう少し複雑ですが、不正な Web サーバーを使用して Web キー、証明書、または CRL のディレクトリを提供することで、簡単に実行できます。

影響を受けた当事者の この脆弱性については、以下が報告されています。

• 1.6.1 までの Libksba バージョンを使用するほとんどのソフトウェア
• バージョン 4 から 2.0.0 までの Gpg4.0.3win のすべてのバージョン
• 3.1.16 から 3.1.24 までの GnuPG VS-Desktop® のすべてのバージョン
• バージョン 2.3.0 から 2.3.7 までの Windows 用のすべての GnuPG インストーラー
• バージョン 2.1.0 から 2.2.39 までの Windows 用のすべての GnuPG LTS インストーラー

冒頭でも述べたように この脆弱性は、Libksba 1.6.2 バージョンで既に修正されています。 およびバイナリビルドで GnuPG 2.3.8、 障害が報告されてから、開示前に必要な修正を行うことができるように猶予期間が与えられているためです。

Linux ディストリビューションでは、通常、Libksba ライブラリは個別の依存関係として提供されますが、Windows ビルドでは、メインの GnuPG インストール パッケージに統合されています。

関連するアップデートをすでに実行しているユーザーには、「gpgconf –kill all」コマンドでバックグラウンド プロセスを再起動することを忘れないことをお勧めします。 また、「gpgconf –show-versions」コマンドの出力に問題がないかどうかを確認するには、「KSBA ….」行の値を評価します。これは、少なくとも 1.6.2 のバージョンを示しているはずです。

ラス ディストリビューションのアップデートはまだリリースされていません。 ただし、ページでの外観を追跡できます。 Debianの, Ubuntu, Gentooの, RHEL, SUSE, アーチ y FreeBSDの. この脆弱性は、GnuPG VS-Desktop を含む MSI および AppImage パッケージと Gpg4win にも存在します。

最後に それについてもっと知りたい、詳細を確認できます 次のリンクで。