Уязвимость в GnuPG
Demi Marie Obenour из Invisible Things Lab обнаружил уязвимость в GnuPG. Злоумышленник может вызвать отказ в обслуживании (продолжительное зависание), отправляя на проверку открепленные GPG-подписи или сертификаты, содержащие один сжатый пакет с повторенной много раз цифровой подписью. Исследователю удалось израсходовать более минуты процессорного времени на проверку входных данных размером менее 5 килобайт.
Письмо с демонстрацией атаки было направлено в рассылку OSS-Security. Однако, на него пожаловались подписчики: почтовые клиенты Evolution и Mutt (с параметром конфигурации pgp_auto_decode=yes) пытаются автоматически проверить подпись в приложенном файле и зависают. Поэтому автор атаки выслал пример повторно, на этот раз — в зашифрованном zip-архиве.
Патч для GnuPG уже обсуждается разработчиками. Исправление сводится к запрету обработки сжатых пакетов в ключах и некоторых видах цифровых подписей.
>>> Подробности
