Amazon Linux AMI：gnupg (ALAS-2014-278)

low Nessus プラグイン ID 72296

Language:

概要

リモートのAmazon Linux AMIホストに、セキュリティ更新プログラムがありません。

説明

1.4.16 以前の GnuPG 1.xは、特定のパターンのある導入部のシーケンスを使用して RSA 鍵を生成するために、サイドチャネルを導入してしまい、物理的に近接した攻撃者が選択型暗号化テキスト攻撃および復号化中の音響暗号解析 (acoustic cryptanalysis) を介して、RSA 鍵を抽出する可能性があります。
注: アプリケーションは、音響サイドチャネル攻撃から自身を保護することを一般に想定されていません。これは間違いなく物理デバイスの責任であるからです。このためにこの種の問題は、通常は CVE 識別子を受けません。しかしながら、この問題のために、開発者は、セキュリティポリシーを指定しており、その中で、GnuPG はサイドチャネル抵抗性を提供し、開発者指定のセキュリティ違反を CVE の範囲内にする必要があります。