1.4.17より前のGnuPG 1.xおよび2.0.24以前のGnuPG 2.xのg10/compress.cのdo_uncompress関数により、a3 01 5b ffバイトのシーケンスに示されるように、コンテキスト依存の攻撃者が無効な形式の圧縮パケットでサービス拒否（無限ループ）を引き起こす可能性があります。（CVE-2014-4617）ARXへの影響：この脆弱性は、自動診断機能を使用している場合に影響を受けます。BIG-IP GNU Privacy Guard（GnuPG）は、トラフィック処理では使用されません。GnuPGは、ユーザー構成セット（UCS）と単一構成ファイル（SCF）の暗号化、この脆弱性の影響を受けないISOとASM署名の検証など、BIG-IPシステムの管理機能でのみ使用されます。advanced shellアクセスを持つ認証された（root）ユーザーが、特別に細工されたファイルをアップロードし、gpgを手動で実行してこの脆弱性を引き起こす可能性があります。F5 iWorkflow、BIG-IQ、Enterprise Manager advanced shellアクセスを持つ認証されたユーザーが、gpgを手動で実行することにより、この脆弱性を悪用する可能性があります。

検出

F5 Networks BIG-IP：GnuPGの脆弱性（K21284031）

medium Nessus プラグイン ID 100179

バージョン 3.12