Debian セキュリティ勧告

DSA-010-1 gnupg -- 分離した署名に関するバグ、 Web 認証の回避

報告日時:

2000-12-25

影響を受けるパッケージ:

gnupg

危険性:

あり

参考セキュリティデータベース:

現時点では、その他の外部参考セキュリティデータベースはありません。

詳細:

現在二つのバグが GnuPG に発見されています:

分離された署名の正当性を確認するときに誤って正当であると示す
gpg が分離された署名の正当性を確認するときに、誤って正当であると示す方法があります。それは、分離された署名が以下のようなコマンドで確認されるときです: gpg --verify detached.sig < mydata
もし、誰かが detached.sig を署名された文章 (分離された署名ではなく) に置き換えると、 mydata が変更されても、 gpg は置き換え前と同様に署名の確認が成功したと報告します。
この問題を修正するために、 --verify オプションがどのように働くかが変更されました: 現在では分離された署名を確認するのに 2 つのオプションが必要です: 片方は分離された署名ファイルで、もう 1 つは確認されるデータが入ったファイルです。この変更が過去のバージョンとの互換性を失わせることに注意してください。
秘密鍵が報告無しに取り込まれる
Florian Weimer が、 gpg が秘密鍵を鍵サーバから取り込む可能性があることを発見しました。 gpg が、公開鍵を既知の信用されている秘密鍵と符合すると判断すると、攻撃者は Web 認証を回避することができます。
この問題を修正するために、 gpg に秘密鍵を取り込むことを許可する新しいオプション --allow-key-import が追加されました。

修正:

Debian 2.2 (potato)

ソース:: http://security.debian.org/dists/stable/updates/main/source/gnupg_1.0.4-1.1.diff.gz; http://security.debian.org/dists/stable/updates/main/source/gnupg_1.0.4-1.1.dsc; http://security.debian.org/dists/stable/updates/main/source/gnupg_1.0.4.orig.tar.gz
alpha:: http://security.debian.org/dists/stable/updates/main/binary-alpha/gnupg_1.0.4-1.1_alpha.deb
arm:: http://security.debian.org/dists/stable/updates/main/binary-arm/gnupg_1.0.4-1.1_arm.deb
i386:: http://security.debian.org/dists/stable/updates/main/binary-i386/gnupg_1.0.4-1.1_i386.deb
m68k:: http://security.debian.org/dists/stable/updates/main/binary-m68k/gnupg_1.0.4-1.1_m68k.deb
powerpc:: http://security.debian.org/dists/stable/updates/main/binary-powerpc/gnupg_1.0.4-1.1_powerpc.deb
sparc:: http://security.debian.org/dists/stable/updates/main/binary-sparc/gnupg_1.0.4-1.1_sparc.deb