Debian-Sicherheitsankündigung
DSA-061-1 gnupg -- printf Format-Angriff
- Datum des Berichts:
- 16. Jun 2001
- Betroffene Pakete:
- gnupg
- Verwundbar:
- Ja
- Sicherheitsdatenbanken-Referenzen:
- In der Bugtraq-Datenbank (bei SecurityFocus): BugTraq ID 2797.
In Mitres CVE-Verzeichnis: CVE-2001-0522. - Weitere Informationen:
-
Die Version von GnuPG (GNU Privacy Guard, eine OpenPGP-Implementierung),
die in Debian GNU/Linux 2.2 verteilt wird, leidet an zwei Problemen:
- fish stiqz meldete auf bugtraq, dass ein printf-Format-Problem in der do_get() Funktion vorhanden war: sie gibt eine Eingabeaufforderung aus, die den entschlüsselten Dateinamen beinhaltet, ohne auf mögliche printf-Format-Angriffe zu prüfen. Dieses kann ausgenutzt werden, wenn man jemanden austrickst, eine Datei mit einem speziell handgemachtem Dateinamen entschlüsseln zu lassen.
- Der zweite Fehler steht in Beziehung mit dem Importieren von geheimen Schlüsseln: wenn gnupg einen geheimen Schlüssel importiert, dann wird dem dazugehörigen öffentlichen Schlüssel vollständig vertraut, was Ihr Vertrauensnetz (web of trust) ändert, ohne eine Bestätigung zu verlangen. Um das zu korrigieren, braucht man eine spezielle Option, um den geheimen Schlüssel zu importieren.
Beide Probleme wurden in Version 1.0.6-0potato1 korrigiert.
- Behoben in:
-
Debian GNU/Linux 2.2 (potato)
- Quellcode:
- http://security.debian.org/dists/stable/updates/main/source/gnupg_1.0.6-0potato1.diff.gz
- http://security.debian.org/dists/stable/updates/main/source/gnupg_1.0.6-0potato1.dsc
- http://security.debian.org/dists/stable/updates/main/source/gnupg_1.0.6.orig.tar.gz
- http://security.debian.org/dists/stable/updates/main/source/gnupg_1.0.6-0potato1.dsc
- Alpha:
- http://security.debian.org/dists/stable/updates/main/binary-alpha/gnupg_1.0.6-0potato1_alpha.deb
- ARM:
- http://security.debian.org/dists/stable/updates/main/binary-arm/gnupg_1.0.6-0potato1_arm.deb
- Intel IA-32:
- http://security.debian.org/dists/stable/updates/main/binary-i386/gnupg_1.0.6-0potato1_i386.deb
- Motorola 680x0:
- http://security.debian.org/dists/stable/updates/main/binary-m68k/gnupg_1.0.6-0potato1_m68k.deb
- PowerPC:
- http://security.debian.org/dists/stable/updates/main/binary-powerpc/gnupg_1.0.6-0potato1_powerpc.deb
- Sun Sparc:
- http://security.debian.org/dists/stable/updates/main/binary-sparc/gnupg_1.0.6-0potato1_sparc.deb
MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.