Debian DSA-2774-1：gnupg2 - いくつかの脆弱性

medium Nessus プラグイン ID 70374

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

GnuPG 2 に、GNU プライバシーガードとフリー PGP 置換の 2 つの脆弱性が見つかりました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2013-4351 キーまたはサブキーの「key flags」サブパケットがすべてのビットをオフにするように設定されている場合、GnuPG は現在そのキーをすべてのビットが設定されているように処理します。つまり、所有者が「no use permitted（一切の使用を不許可）」を示したい場合に、GnuPG はそれを「all use permitted（全て使用許可）」と解釈します。こうした「no use permitted（一切の使用を不許可）」キーを使用するのは稀であり、非常に特殊な状況のみで使用されます。

- CVE-2013-4402 細工された入力データにより圧縮パケットパーサーの無限再帰が起こり、サービス拒否が引き起こされる可能性があります。

ソリューション

gnupg2 パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（squeeze）では、これらの問題はバージョン 2.0.14-2+squeeze2 で修正されています。

安定版（stable）ディストリビューション（wheezy）に対して、これらの問題はバージョン 2.0.19-2+deb7u1 で修正されています。