[Security Hole] GnuPG 1.2.x bis 1.3.3

#1 GnuPG 1.2.x bis 1.3.3 HKP-Interface Format String

Datum : 03.12.2003

Vulnerability : GnuPG / gpg 1.2.x und 1.3.x

Exploit : http://www.s-quadra.com/advisories/Adv-20031203.txt

Patch : http://www.gnupg.org/(en)/download/

GnuPG gilt als freier Ersatz für PGP (Pretty Good Privacy). Der Grund dafür liegt darin, weil auf das Vorhandensein des kommerziellen IDEA verzichtet wird. GnuPG ist RFC2440 (OpenPGP) kompatibel und vor allem bei Puristen und Freunden von open-source hoch im Kurs. GnuPG kommt mit einem externen, als experimentell klassifiziertes HKP Interface daher, das jedoch standardmässig nicht aktiviert ist und während der Kompilierung mit dem --enable-external-hkp integriert werden müsste. Wird die HKP Schnittstelle eingesetzt, nutzt GnuPG gpgkeys_hkp für Zugriffe auf Keyserver. Dieses Utility weist eine Format String Schwachstelle auf, über die ein externer Angreifer das System kompromittieren kann. Eine Analyse des betroffenen Quelltext-Abschnitts ist im S-Quadra Advisory enthalten. Einen effektiven Exploit gibt es jedoch bisher noch nicht. S-Quadra informierte die GnuPG Entwickler am 27. November 2003 über das Vorhandensein der Sicherheitslücke. Es wurde unverzüglich eine aktualisierte Software, Version 1.3.4, herausgegeben.

Dies ist schon die zweite Sicherheitslücke für GnuPG diese Woche. Diese Bilanz erscheint erschreckend. Betrachtet man jedoch die Probleme genauer, dann wird einem bewusst, dass die Möglichkeiten eines erfolgreichen Angriffs sehr beschränkt sind. So ist bei dieser hier beschriebenen Sicherheitslücke nur ein erfolgreicher Einbruch möglich, wenn GnuPG mit dem HKP Interface kompiliert und dieses aktiviert wurde sowie ein aktiver Keyserver-Zugriff stattfindet. Die Möglichkeit für einen erfolgreichen Einbruch ist durchaus gegeben, jedoch zur aktuellen Stunde als verschwindend gering einzustufen.

quelle scip
__________
http://linux.regionnet.de/ - http://www.pf-lug.de/ - http://www.4logistic.de/ - http://www.pfenz.de