Alexander Kjäll氏とStig Palmquist氏は、GNUプライバシーガード周囲のラッパーであるpython-gnupgに脆弱性を発見しました。対称暗号化を使用する場合、gnupg.GPG.encrypt()およびgnupg.GPG.decrypt()関数のパスフレーズ属性を通じて、データを注入することが可能でした。
提供されたパスフレーズは、改行とライブラリがパスに対して検証されません。 gpgに--passphrase-fdが実行可能で、これによってstdinの最初の行にあるパスフレーズと暗号文が復号されるか、平文が次の行で暗号化されることが想定されます。

改行を含むパスフレーズを提供することで、攻撃者は復号化/暗号化される暗号文/平文を制御/変更することができます。

Debian 8「Jessie」では、この問題はバージョン0.3.6-1+deb8u1で修正されました。

お使いのpython-gnupgパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

DebianDLA-1675-1: python-gnupg - セキュリティ更新プログラム

high Nessus プラグイン ID 122195

バージョン 1.7