Bulletin d'alerte Debian
DSA-3024-1 gnupg -- Mise à jour de sécurité
- Date du rapport :
- 11 septembre 2014
- Paquets concernés :
- gnupg
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le système de suivi des bogues Debian : Bogue 725411.
Dans le dictionnaire CVE du Mitre : CVE-2014-5270. - Plus de précisions :
-
Genkin, Pipman et Tromer ont découvert une attaque par canal auxiliaire contre les sous-clés de chiffrement Elgamal (CVE-2014-5270).
En complément, cette mise à jour durcit le comportement de GnuPG lors du traitement des réponses des serveurs de clés ; GnuPG filtre maintenant les réponses des serveurs de clés afin de n'accepter que celles dont les clés d'identification sont réellement demandées par l'utilisateur.
Pour la distribution stable (Wheezy), ce problème a été corrigé dans la version 1.4.12-7+deb7u6.
Pour la distribution testing (Jessie) et la distribution unstable (Sid), ce problème a été corrigé dans la version 1.4.18-4.
Nous vous recommandons de mettre à jour vos paquets gnupg.