id: Гость   вход   регистрация
текущее время 17:40 14/12/2019
Владелец: SATtva (создано 06/03/2007 01:19), редакция от 06/03/2007 17:16 (автор: SATtva) Печать
Категории: криптография, софт, gnupg, инфобезопасность, защита email, уязвимости, эцп
https://www.pgpru.com/Новости/2007/03-06-ВажноеОбновлениеGnuPG
создать
просмотр
редакции
ссылки

06.03 // Софт // Важное обновление GnuPG


Вернер Кох выпустил уведомление о выявлении неприятной уязвимости в GnuPG. По существу, это не является чем-то новым, но предложенная методика существенно упрощает атаку.


Проблема заключается в том, что при использовании пайпов и перенаправления вывода от программы злоумышленник (в определенных случаях) может внедрить ложный текст в сообщение, заверенное "прозрачной" подписью (clear-signed), или зашифрованное и подписанное в обычном inline-формате. Делается, к примеру, так:



Что, в результате, выдаст:



Обычно редиректы не используются при работе с GnuPG из командной строки, но они часто применяются графическими надстройками и мэйл-клиентами, использующими GnuPG для защиты сообщений и файлов (Enigmail является одним из примеров). Если программа-фронт-энд не использует интерфейс статус-кодов GnuPG, то такая атака может сработать.


Ряд контрмер, обнаруживающих такие вставки, реализован в выпущенных версия 1.4.7 и 2.0.3, всем пользователям настоятельно рекомендовано обновиться. Стоит учесть, что некоторые программы не смогут работать с этими версиями GnuPG (именно из-за изменений в механизме вывода открытого текста сообщений), но это уже проблема подобных программ, которая подлежит исправлению.


Источник: http://mozdev.org/pipermail/enigmail/2007-March/007569.html


 
— Nexion (08/03/2007 10:57)   профиль/связь   <#>
комментариев: 9   документов: 0   редакций: 0
Версию 2.0.3 не нашел что-то на оф. сайте...
— SATtva (08/03/2007 20:13)   профиль/связь   <#>
комментариев: 11543   документов: 1036   редакций: 4092
Смотрите здесь. Опубликовали буквально несколько часов назад.
— Nexion (09/03/2007 12:02)   профиль/связь   <#>
комментариев: 9   документов: 0   редакций: 0
Уже и в дерево портеджей Gentoo добавили :)
— spinore (23/03/2007 05:20)   профиль/связь   <#>
комментариев: 1515   документов: 44   редакций: 5786
Вот обновлю, а потом gpg в mcabber'е отвалится. Не хорошо.
Ваша оценка документа [показать результаты]
-3-2-1 0+1+2+3