Debian セキュリティ勧告

DSA-3024-1 gnupg -- セキュリティ更新

報告日時:

2014-09-11

影響を受けるパッケージ:

gnupg

危険性:

あり

参考セキュリティデータベース:

Debian バグ追跡システム: バグ 725411.
Mitre の CVE 辞書: CVE-2014-5270.

詳細:

Genkin さんと Pipman さん、Tromer さんが、Elgamal 暗号化サブ鍵へのサイドチャネル攻撃 (CVE-2014-5270) を発見しました。

この更新ではさらに、鍵サーバからの応答を扱う際の GnuPG の挙動を強化しています。 GnuPG は現在鍵サーバの応答を選別し、ユーザにより実際にリクエストされた鍵のIDだけを受け付けるようになっています。

安定版 (stable) ディストリビューション (wheezy) では、この問題はバージョン 1.4.12-7+deb7u6 で修正されています。

テスト版 (testing) ディストリビューション (jessie) 及び不安定版 (unstable) ディストリビューション (sid) では、この問題はバージョン 1.4.18-4 で修正されています。

直ちに gnupg パッケージをアップグレードすることを勧めます。