GnuPG’dagi zaiflik xabar raqamli imzosini soxtalashtirishga imkon beradi.

SigSpoof zaifligi GnuPG, Enigmail, GPGTools va python-gnupg dasturlariga taʼsir qiladi.

GNU loyihasi jamoasi GnuPG dasturining yangi versiyasini taqdim etdi. Ushbu versiya `gpg` utilitidan foydalanilganda raqamli imzo tekshiruvi natijasi haqidagi xabarni soxtalashtirish imkonini beruvchi zaiflikni bartaraf etadi. «SigSpoof» deb nomlangan ushbu muammo GnuPG, Enigmail, GPGTools, `python-gnupg` paketi va ehtimol GnuPG-dan foydalanadigan boshqa ilovalarga ham ta’sir ko‘rsatadi. Mazkur zaiflik (CVE-2018-12020) fayl nomining tegishli tarzda tekshirilmasligi oqibatida yuzaga keladi; fayl nomi imzolangan yoki shifrlangan xabarga manba fayl ma’lumoti sifatida kiritilgan bo‘lishi mumkin. Shifrlashni ochish va imzoni tekshirish jarayonida ushbu fayl nomi ekranda yoki jurnal (log) faylida aks ettiriladi; biroq, tekshiruv mexanizmi mavjud emasligi sababli, fayl nomi tarkibida boshqaruv belgilari, jumladan, qatorni ko‘chirish (line breaks) va terminalni boshqarish buyruqlari bo‘lishi mumkin.

«Hujumchi ilovaning tahlil qiluvchi dasturiga (parser) ixtiyoriy GnuPG holat xabarlarini kiritishi hamda raqamli imzoni tekshirish va xabarni shifrdan chiqarish natijalarini buzib ko‘rsatishi mumkin», — deb tushuntirdi mutaxassis Markus Brinkmann. Holat xabarining uzunligi 255 belgidan oshmasligi kerak.

Mutaxassisning taʼkidlashicha, ushbu zaiflik faqat muammolar yoki kutilmagan holatlarni aniqlash uchun qo‘llaniladigan `gpg.conf` faylidagi `verbose` sozlamasi yoqilgan taqdirdagina namoyon bo‘ladi.

Yuqorida qayd etilgan zaiflik GnuPG 2.2.8, Enigmail 2.0.7, GPGTools 2018.3 va python-gnupg 0.4.3 versiyalarida bartaraf etildi.

O‘tgan yilning may oyida PGP va S/MIME shifrlash vositalarida bir qator xavfli zaifliklar aniqlandi; ular shifrlangan elektron xatlar mazmunini oddiy matn ko‘rinishida ko‘rish imkonini beradi.

GnuPG (GNU Privacy Guard) — OpenPGP standarti asosida ishlab chiqilgan, maʼlumotlarni shifrlash va raqamli imzolar yaratishga mo‘ljallangan erkin dasturiy taʼminotdir. U PGPga muqobil sifatida yaratilgan va GNU General Public License (GNU umumiy ommaviy litsenziyasi) shartlari asosida chiqarilgan.