Bulletin d'alerte Debian

DSA-4224-1 gnupg -- Mise à jour de sécurité

Date du rapport :

8 juin 2018

Paquets concernés :

gnupg

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2018-12020.

Plus de précisions :

Marcus Brinkmann a découvert que GnuPG réalisait un nettoyage insuffisant des noms de fichiers affichés dans les messages d'état, ce qui pourrait être détourné pour falsifier l'état de vérification d'un courriel signé.

Plus de détails sont disponibles dans l'annonce amont à l'adresse https://lists.gnupg.org/pipermail/gnupg-announce/2018q2/000425.html

Pour la distribution oldstable (Jessie), ce problème a été corrigé dans la version 1.4.18-7+deb8u5.

Nous vous recommandons de mettre à jour vos paquets gnupg.

Pour disposer d'un état détaillé sur la sécurité de gnupg, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/gnupg