gpg2 パッケージが更新され、次のセキュリティおよび非セキュリティの問題が修正されました。

- CVE-2015-1606：無効なキーリングを使用する無効なメモリ読み取りを修正しました（bsc#918089）。

- CVE-2015-1607：範囲が重複する memcpy を修正しました（bsc#918090）。

- bsc#955753：keyserver のインポートフィルターによる「gpg --recv」の回帰を修正しました（boo#952347 も）。

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

gnupg2 キーリング DB コードが、キーリングに属さないパケットを拒否しないことが報告されました。これにより、sizeof (int) の無効な読み取りが行われる可能性があります。

gpg2 のこの更新により、以下の問題が修正されます。

- cve-2015-1606 を修正（bsc#918089）

- 文字化けしたキーリングを使用する無効なメモリ読み取り

- 0001-Gpg-prevent-an-invalid-memory-read-using-a-garbled-k.patch

- cve-2015-1607 を修正（bsc#918090）

- 範囲が重複する Memcpy

- 0001-Use-inline-functions-to-convert-buffer-data-to-scala.patch

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

複数の脆弱性が GNU プライバシーガードである GnuPG で発見されています：

CVE-2014-3591

エルガマル復号ルーチンがサイドチャネル攻撃を受けやすいことが、テルアビブ大学の研究者により発見されました。これに対処するために暗号テキスト隠蔽が有効にされています。ただし、これはエルガマル復号の性能に極めて大きな影響を与える可能性があります。

CVE-2015-0837

モジュール式累乗ルーチンである mpi_powm() がその内部の計算済みテーブルにアクセスするときに、データ依存タイミング変動によって起こるサイドチャネル攻撃の被害を受けやすくなっていました。

CVE-2015-1606

キーリング解析コードは、キーリングに属さない特定のパケットタイプを適切に拒否しませんでした。これにより、既に解放されたメモリへのアクセスが発生しました。これにより、細工されたキーリングファイルを介して、リモートの攻撃者がサービス拒否（クラッシュ）を引き起こす可能性があります。

旧安定版（oldstable）ディストリビューション（squeeze）では、これらの問題はバージョン 1.4.10-4+squeeze7 で修正されました。

安定版（stable）ディストリビューション（wheezy）に対して、これらの問題はバージョン 1.4.12-7+deb7u7 で修正されています。

gnupg パッケージをアップグレードすることを推奨します。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

複数の脆弱性が GNU プライバシーガードである GnuPG で発見されています：

- CVE-2014-3591 Elgamal 復号ルーチンがサイドチャネル攻撃を受けやすいことが、テルアビブ大学の研究者により発見されています。これに対処するために暗号テキスト隠蔽が有効にされています。ただし、これはエルガマル復号の性能に極めて大きな影響を与える可能性があります。

- CVE-2015-0837 モジュール式累乗ルーチンである mpi_powm() が、その内部の計算済みテーブルにアクセスする場合に、データ依存タイミング変動によって起こるサイドチャネル攻撃を受けやすくなっていました。

- CVE-2015-1606：キーリング解析コードによって、キーリングに属さない特定のパケットタイプが適切に拒否されませんでした。これにより、既に解放されたメモリへのアクセスが発生しました。これにより、細工されたキーリングファイルを介して、リモートの攻撃者がサービス拒否（クラッシュ）を引き起こす可能性があります。

Daniel Genkin 氏、Lev Pachmanov 氏、Itamar Pipman 氏、および Eran Tromer 氏は、GnuPG が物理的なサイドチャネルを介する攻撃の影響を受けやすいことを発見しました。ローカルの攻撃者がこの攻撃を利用して、秘密鍵を復元する可能性があります。(CVE-2014-3591)

Daniel Genkin 氏、Adi Shamir 氏、および Eran Tromer 氏は、GnuPG が物理的なサイドチャネルを介する攻撃の影響を受けやすいことを発見しました。ローカルの攻撃者がこの攻撃を利用して、秘密鍵を復元する可能性があります。
(CVE-2015-0837)

Hanno Bock 氏が、GnuPG が特定の無効な形式のドキュメントを不適切に処理していることを発見しました。ユーザーまたは自動化されたシステムが騙されて無効な形式のキーリングを開くと、リモートの攻撃者がこの問題を悪用し、GnuPG をクラッシュさせる可能性があります。これにより、サービス拒否を引き起こしたり、任意のコードが実行されたりする可能性があります。(CVE-2015-1606、CVE-2015-1607)

さらに、この更新は、それらのリクエストに一致するキーサーバーにより返されるキーの検証により、GnuPG　セキュリティを改善します。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

GnuPG は、セキュリティに影響を及ぼす可能性がある 2 つのメモリ処理問題を修正するために更新されています：

- CVE-2015-1606：文字化けしたキーリングを使用する無効なメモリ読み取り（bsc#918089）

- CVE-2015-1607：範囲が重複する memcpy（bsc#918090）

gpg2 パッケージが更新され、次のセキュリティおよび非セキュリティの問題が修正されました。

- CVE-2015-1606：無効なキーリングを使用する無効なメモリ読み取りを修正しました（bsc#918089）。

- CVE-2015-1607：範囲が重複する memcpy を修正しました（bsc#918090）。

- bsc#955753：keyserver のインポートフィルターによる「gpg --recv」の回帰を修正しました（boo#952347 も）。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2.1.2 以前の GnuPG のキーリング DB が無効なパケットを適切に処理しません。これにより、リモートの攻撃者が、細工されたキーリングファイルでサービス拒否（無効な読み取りと use-after-free）を引き起こす可能性があります。
    (CVE-2015-1606)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
87197	SUSE SLED12 / SLES12 セキュリティ更新： gpg2 （SUSE-SU-2015:2171-1）	Nessus	SuSE Local Security Checks	2015/12/4	2021/1/6	medium
85045	Amazon Linux AMI：gnupg2（ALAS-2015-574）	Nessus	Amazon Linux Local Security Checks	2015/7/29	2019/11/25	medium
87196	SUSE SLED11 / SLES11 セキュリティ更新： gpg2 （SUSE-SU-2015:2170-1）	Nessus	SuSE Local Security Checks	2015/12/4	2021/1/6	medium
82160	Debian DLA-175-1：gnupg のセキュリティ更新	Nessus	Debian Local Security Checks	2015/3/26	2021/1/11	medium
81794	Debian DSA-3184-1：gnupg - セキュリティ更新	Nessus	Debian Local Security Checks	2015/3/13	2021/1/11	medium
82526	Ubuntu 14.04 LTS : GnuPG の脆弱性 (USN-2554-1)	Nessus	Ubuntu Local Security Checks	2015/4/2	2024/8/28	medium
87117	openSUSE セキュリティ更新：GnuPG（openSUSE-2015-840）	Nessus	SuSE Local Security Checks	2015/12/1	2021/1/19	medium
87392	openSUSE セキュリティ更新：gpg2（openSUSE-2015-886）	Nessus	SuSE Local Security Checks	2015/12/16	2021/1/19	medium
87644	SUSE SLED12 / SLES12 セキュリティ更新： gpg2 （SUSE-SU-2015:2171-2）	Nessus	SuSE Local Security Checks	2015/12/29	2021/1/6	medium
218483	Linux Distros のパッチ未適用の脆弱性: CVE-2015-1606	Nessus	Misc.	2025/3/4	2025/8/25	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium