Debian DLA-2862-1 : python-gnupg - LTS セキュリティ更新

high Nessus プラグイン ID 156336

Language:

概要

リモートの Debian ホストに 1 つまたは複数のセキュリティ関連の更新プログラムがありません。

説明

リモートの Debian 9 ホストには、dla-2862 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

- 2.2.8 より前の GnuPG の mainproc.c がオリジナルのファイル名を不適切に処理していたため、リモート攻撃者は、GnuPG がファイル記述子 2 で --status-fd 2 オプションを使用する他のプログラムに送信する出力を偽装する可能性があります。たとえば、OpenPGP データは、GOODSIG または VALIDSIG ステータスコードとともにラインフィード文字を含む元のファイル名を表す可能性があります。
(CVE-2018-12020)

- python-gnupg 0.4.3 により、コンテキスト依存の攻撃者が gnupg を騙して、意図された以外の暗号文を復号化させる可能性があります。攻撃を実行するには、gnupg へのパスフレーズが攻撃者に制御され、暗号文が信頼できるものである必要があります。CWE-20 に関連 : 影響機能コンポーネントに影響を与える不適切な入力検証の問題。(CVE-2019-6690)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。