Bulletin d'alerte Debian

DLA-600-1 libgcrypt11 -- Mise à jour de sécurité pour LTS

Date du rapport :
23 août 2016
Paquets concernés :
libgcrypt11
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2016-6313.
Plus de précisions :

La bibliothèque de chiffrement libgcrypt11 comporte une faiblesse dans le générateur de nombres aléatoires.

  • CVE-2016-6313

    Felix Dörre et Vladimir Klebanov de l'Institut de Technologie de Karlsruhe ont découvert un bogue dans les fonctions de mélange du générateur de nombres aléatoires (random number generator – RNG) de Libgcrypt. Un attaquant qui obtient 4640 bits du RNG peut prévoir de façon banale les 160 bits suivants de la sortie.

Une première analyse de l'impact de ce bogue de GnuPG montre que les clés RSA existantes ne sont pas affaiblies. En ce qui concerne les clés DSA et Elgamal, il est aussi peu probable que la clé privée puisse être prédite à partir d'autres informations publiques.

Pour Debian 7 Wheezy, ces problèmes ont été corrigés dans la version 1.5.0-5+deb7u5.

Nous vous recommandons de mettre à jour vos paquets libgcrypt11.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.