BDU:2023-01658 (CVE-2019-14855)

Уязвимость программы для шифрования информации и создания электронных цифровых подписей GnuPG, связанная с слабым шифрованием, позволяющая нарушителю получить доступ к конфиденциальным данным

Опубликовано: 2023-03-28

Описание

Уязвимость программы для шифрования информации и создания электронных цифровых подписей GnuPG связана с использованием слабого шифрования. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным

Затрагиваемое ПО и версии

Debian GNU/Linux (10)Debian GNU/Linux (11)Astra Linux Special Edition (1.7)GNU Privacy Guard (GnuPG) (до 2.2.18)

Способ устранения

Для GnuPG:
использование рекомендаций производителя: https://lists.gnupg.org/pipermail/gnupg-announce/2019q4/000442.html

Для Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2019-14855

Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://dev.gnupg.org/T4755 https://eprint.iacr.org/2020/014.pdf https://git.gnupg.org/cgi-bin/gitweb.cgi?p=gnupg.git;a=commit;h=7d9aad63c4f1aefe97da61baf5acd96c12c0278e https://git.gnupg.org/cgi-bin/gitweb.cgi?p=gnupg.git;a=commit;h=c4f2d9e3e1d77d2f1f168764fcdfed32f7d1dfc4 https://git.gnupg.org/cgi-bin/gitweb.cgi?p=gnupg.git;a=commit;h=dd18be979e138dd3712315ee390463e8ee1fe8c1 https://lists.gnupg.org/pipermail/gnupg-announce/2019q4/000442.html https://nvd.nist.gov/vuln/detail/CVE-2019-14855 https://rwc.iacr.org/2020/slides/Leurent.pdf

Проверьте безопасность своего сайта и почты → Полная проверка домена