Bulletin d'alerte Debian

DLA-54-1 gnupg -- Mise à jour de sécurité pour LTS

Date du rapport :

14 septembre 2014

Paquets concernés :

gnupg

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2014-5270.

Plus de précisions :

Genkin, Pipman et Tromer ont découvert une attaque par canal auxiliaire contre les sous-clés de chiffrement Elgamal (CVE-2014-5270).

En complément, cette mise à jour durcit le comportement de GnuPG lors du traitement des réponses des serveurs de clés ; GnuPG filtre maintenant les réponses des serveurs de clés afin de n'accepter que celles dont les clés d'identification sont réellement demandées par l'utilisateur.

Pour Debian 6 Squeeze, ces problèmes ont été corrigés dans la version 1.4.10-4+squeeze6 de gnupg.