Bulletin d'alerte Debian

DSA-2773-1 gnupg -- Plusieurs vulnérabilités

Date du rapport :
10 octobre 2013
Paquets concernés :
gnupg
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 725439, Bogue 722722.
Dans le dictionnaire CVE du Mitre : CVE-2013-4351, CVE-2013-4402.
Plus de précisions :

Deux vulnérabilités ont été découvertes dans GnuPG (« GNU privacy guard »), un remplacement libre de PGP. Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants.

  • CVE-2013-4351

    Lorsqu'une clé ou une sous-clé a tous les flags de son sous-ensemble key flags désactivés, GnuPG traite actuellement la clé comme s'ils étaient tous activés. Cela signifie que quand le détenteur n'autorise aucun usage, GnuPG l'interprète comme si tous les usages étaient permis. De telles clés sont rares et ne sont utilisées qu'en des circonstances très spéciales.

  • CVE-2013-4402

    Une récursion infinie dans l'analyseur de paquet compressé était possible avec une donnée d'entrée contrefaite, ce qui pourrait être utilisé pour provoquer un déni de service.

Pour la distribution oldstable (Squeeze), ces problèmes ont été corrigés dans la version 1.4.10-4+squeeze3.

Pour la distribution stable (Wheezy), ces problèmes ont été corrigés dans la version 1.4.12-7+deb7u2.

Pour la distribution unstable (Sid), ces problèmes ont été corrigés dans la version 1.4.15-1.

Nous vous recommandons de mettre à jour vos paquets gnupg.