[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index][Search]
[Debian] UPDATE: Schwachstelle in der GnuPG Signaturueberpruefung - DSA 993-1
-----BEGIN PGP SIGNED MESSAGE-----
Liebe Kolleginnen und Kollegen,
soeben erreichte uns nachfolgende Warnung des Debian-Teams. Wir geben
diese Informationen unveraendert an Sie weiter.
Bitte beachten Sie, dass dies ein Update des Advisories ist, das die
folgenden Aenderungen betrifft:
Die Zeile "gpg: cleartext signature without data" erscheint in der
GPG-Ausgabe nur bei manipulierten Klartext-Signaturen. Bei anderen
Exploits fuer die Schwachstelle in CAN-2006-0049 ist diese Zeile nicht
vorhanden.
OpenPGP Nachrichten sind in mehrere Pakete aufgeteilt, wobei der Inhalt
der Pakete signierte Daten und die Signatur selbst umfasst. Weiterhin
beinhaltet das OpenPGP Format Kontroll-Pakete. Das Kontroll-Paket "
One-Pass Signature" beinhaltet Informationen, um Signaturen in einem
Durchlauf bei der Bearbeitung der OpenPGP Nachricht ueberpruefen zu
koennen. Eine OpenPGP Nachricht kann in mehrere Signatur- und
Datenpakete bestehen.
CAN-2006-0049 - Schwachstelle in der GnuPG Signaturueberpruefung
In GnuPG existiert eine Schwachstelle bei der Ueberpruefung von
Signaturen, wenn die Nachricht aus mehreren Signatur- und Datenpaketen
mit teilweise ungueltigem Inhalt besteht. In diesem Fall wird die
Signatur fuer ein Datenpaket fehlerhafter Weise als gueltig gemeldet,
ohne dass diese Signatur fuer dieses Datenpaket ueberprueft wurde. Ein
entfernter Angreifer kann diese Schwachstelle durch eine speziell
konstruierte OpenPGP Nachricht ausnutzen, um eine gueltige Signatur
fuer beliebige Inhalte und beliebige PGP-Schluessel vorzutaeuschen.
Wir koennen bestaetigen, dass auch als Klartext signierte Mails von
Varianten dieser Schwachstelle betroffen sind und dass eine derart
konstruierte Nachricht leicht erstellt werden kann.
Die Existenz der Schwachstelle koennen Sie wie folgt erkennen:
Manipulierte Klartext-Signaturen koennen an der Zeile "gpg: cleartext
signature without data" erkennt werden, die zusaetzlich zu der
erfolgreichen Signaturueberpruefung ausgegeben wird, z.B.:
gpg command line and output:
/usr/bin/gpg --charset utf8 --batch --no-tty --status-fd 2 -d
gpg: Signature made Fr 10 Mär 2006 14:46:51 CET using RSA
key ID 12345678
gpg: Good signature from "JK, TEST <test@example.de>"
gpg: aka "JK, TEST <test@example.de>"
gpg: cleartext signature without data
Bitte beachten Sie, dass bei anderen Exploits diese Zeile nicht
ausgegeben wird.
Betroffen sind die folgenden Software Pakete und Plattformen:
Paket gnupg in der stable Distribution (sarge) vor Version 1.4.1-1.sarge3
Paket gnupg in der unstable Distribution (sid) vor Version 1.4.2.2-1
Stable Distribution (sarge)
Testing Distribution (sid)
Vom Hersteller werden ueberarbeitete Pakete zur Verfuegung gestellt.
Hersteller Advisory:
http://www.debian.org/security/2006/dsa-993
Beschreibung der Schwachstelle von Werner Koch
http://lists.gnupg.org/pipermail/gnupg-announce/2006q1/000216.html
(c) der deutschen Zusammenfassung bei DFN-CERT Services GmbH; die
Verbreitung, auch auszugsweise, ist nur unter Hinweis auf den Urheber,
DFN-CERT Services GmbH, und nur zu nicht kommerziellen Zwecken
gestattet.
Mit freundlichen Gruessen,
Jan Kohlrausch
- --
Jan Kohlrausch (CSIRT), DFN-CERT Services GmbH
Web: https://www.dfn-cert.de/, Phone: +49-40-808077-555
PGP RSA/2048, A5DD03D1, A2 55 1C 51 0A 30 3E 78 5B 40 DA B7 14 F7 C9 E8
13.DFN-CERT Workshop "Sicherheit in vernetzten Systemen", 1./2.3.2006
- -----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
- - --------------------------------------------------------------------------
Debian Security Advisory DSA 993-1 security@debian.org
http://www.debian.org/security/ Martin Schulze
March 10th, 2006 http://www.debian.org/security/faq
- - --------------------------------------------------------------------------
Package : gnupg
Vulnerability : programming error
Problem type : remote
Debian-specific: no
CVE ID : CVE-2006-0049
Tavis Ormandy noticed that gnupg, the GNU privacy guard - a free PGP
replacement, can be tricked to emit a "good signature" status message
when a valid signature is included which does not belong to the data
packet.
The old stable distribution (woody) is not affected by this problem.
For the stable distribution (sarge) this problem has been fixed in
version 1.4.1-1.sarge3.
For the unstable distribution (sid) this problem has been fixed in
version 1.4.2.2-1.
We recommend that you upgrade your gnupg package.
Upgrade Instructions
- - --------------------
wget url
will fetch the file for you
dpkg -i file.deb
will install the referenced file.
If you are using the apt-get package manager, use the line for
sources.list as given below:
apt-get update
will update the internal database
apt-get upgrade
will install corrected packages
You may use an automated update by adding the resources from the
footer to the proper configuration.
Debian GNU/Linux 3.1 alias sarge
- - --------------------------------
Source archives:
http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge3.dsc
Size/MD5 checksum: 680 8f2f1848dcdfe9d143d8e9352ef918ca
http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge3.diff.gz
Size/MD5 checksum: 19639 9ffb89fa0a770568ddd80a11e3eada78
http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1.orig.tar.gz
Size/MD5 checksum: 4059170 1cc77c6943baaa711222e954bbd785e5
Alpha architecture:
http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge3_alpha.deb
Size/MD5 checksum: 2155538 07b4643bf4cd05639a261fa0b3fa6a89
AMD64 architecture:
http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge3_amd64.deb
Size/MD5 checksum: 1963222 52cdf1bb1a228427abd31abff411a946
ARM architecture:
http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge3_arm.deb
Size/MD5 checksum: 1899232 c52b0d652506e2384340d67f8126a1b2
Intel IA-32 architecture:
http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge3_i386.deb
Size/MD5 checksum: 1908754 cd9c2257b8c7149a92131abbdaef498c
Intel IA-64 architecture:
http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge3_ia64.deb
Size/MD5 checksum: 2324736 3553c75fac7cdc0a7d157c20aad4525c
HP Precision architecture:
http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge3_hppa.deb
Size/MD5 checksum: 2004042 2bb61f214979d403de8e3eab35c4ef00
Motorola 680x0 architecture:
http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge3_m68k.deb
Size/MD5 checksum: 1810978 8da1cbf5b8291ff54194010881832bf1
Big endian MIPS architecture:
http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge3_mips.deb
Size/MD5 checksum: 2000618 dfcf0ab7c9f5b3aada55bc27c1f1119d
Little endian MIPS architecture:
http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge3_mipsel.deb
Size/MD5 checksum: 2007396 6d99bcd4559ef9a73d43cedd8b8d1680
PowerPC architecture:
http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge3_powerpc.deb
Size/MD5 checksum: 1957560 570ae516c68d6803aeafce048e0f978c
IBM S/390 architecture:
http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge3_s390.deb
Size/MD5 checksum: 1966774 2f4a27beba4ff1fc96ef11d9e77b7ec1
Sun Sparc architecture:
http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge3_sparc.deb
Size/MD5 checksum: 1897162 8520ccf5a05546d18a641a480b5926ac
These files will probably be moved into the stable distribution on
its next update.
- - ---------------------------------------------------------------------------------
For apt-get: deb http://security.debian.org/ stable/updates main
For dpkg-ftp: ftp://security.debian.org/debian-security dists/stable/updates/main
Mailing list: debian-security-announce@lists.debian.org
Package info: `apt-cache show <pkg>' and http://packages.debian.org/<pkg>
- -----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.2 (GNU/Linux)
iD8DBQFEEeOFW5ql+IAeqTIRAstQAKCvGE5kcoubd8uAZY6UkoZJbTWzjgCdHCZI
q7HlIdlvCJKZH2Ztu0b4l94=
=xtSc
- -----END PGP SIGNATURE-----
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (GNU/Linux)
iQEVAwUBRBWMifBT2+ukQ5RFAQF2Fgf/RgdLNXzzs8jitmeUGtVZPQCamRszXq3r
8HxFv7fQ/ggGs7sWfuxwCXttKkFB8ZvzsZNrcysxLt71E2z4f7ci91ZUxEPf0ro1
LU9jIQDHgrBfGIr7QRPQ/f438aLlNug9etCkqP1upvJl7axVOPn469mC3upvR6SB
DUxNwdt/1KfWFcJf+9WXGSgB8LOThF5TGsocc7+o6/9MWK6W2NX2REcybsp7myCl
IQXpfFwY316k4nT7xzKqMidbvHuGk7n8xcCqQPOt9zk5lO5yF++nELDpk4sym7tN
A0CYzOZGPztA5vvH74E5rw5hsycNxDqeGMrMNehWC7WnH4etY3+5ug==
=9lhc
-----END PGP SIGNATURE-----
[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index][Search]
