Debian DSA-2860-1：parcimonie - 情報漏洩

high Nessus プラグイン ID 72440

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Holger Levsen 氏は、GnuPG キーリングをリフレッシュするためのプライバシーへの配慮がなされたヘルパーである parcimonie が、設計の問題の影響を受けることを発見しました。この問題により、意図された脅威モデルで、このソフトウェアの利便性が損なわれます。

大きなキーリング（1000 以上の公開鍵）で parcimonie を使用すると、2 つのキーフェッチの間で正確に 10 分間スリープ状態になります。
これが、十分な量のキーフェッチを見ることのできる敵対者により使用され、複数のキーフェッチ同士を関連付ける可能性があります。これは、parcimonie が目的としている保護の対象となります。キーリングが小さいほど、受ける影響も小さくなります。HKP プールを構成 GnuPG キーサーバーとして使用すると、この問題は若干緩和されます。