Bulletin d'alerte Debian

DSA-3649-1 gnupg -- Mise à jour de sécurité

Date du rapport :

17 août 2016

Paquets concernés :

gnupg

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2016-6313.

Plus de précisions :

Felix Doerre et Vladimir Klebanov de l'Institut de Technologie de Karlsruhe ont découvert un défaut dans les fonctions de mélange du générateur de nombres aléatoires (random number generator – RNG) de GnuPG. Un attaquant qui obtient 4640 bits du RNG peut prévoir de façon banale les 160 bits suivants de la sortie.

Une première analyse de l'impact de ce bogue de GnuPG montre que les clés RSA existantes ne sont pas affaiblies. En ce qui concerne les clés DSA et Elgamal, il est aussi peu probable que la clé privée puisse être prédite à partir d'autres informations publiques.

Pour la distribution stable (Jessie), ce problème a été corrigé dans la version 1.4.18-7+deb8u2.

Nous vous recommandons de mettre à jour vos paquets gnupg.