PT-2020-15965 · Intevation Gmbh+1 · Gpg4Win+1

Andreas Stieger · Publicado 2020-09-03 · Atualizado 2024-06-15 · CVE-2020-25125

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões 2.2.21 a 2.2.22 do GnuPG

Versão 3.1.12 do Gpg4win

Descrição

O problema é causado por um estouro de matriz no arquivo g10/key-check.c, levando a uma falha ou possivelmente a outros impactos não especificados quando uma vítima importa a chave OpenPGP de um invasor com preferências AEAD.

Recomendações

Para as versões 2.2.21 e 2.2.22 do GnuPG, atualize para a versão 2.2.23 para resolver o problema.

Para a versão 3.1.12 do Gpg4win, atualize para uma versão que inclua a correção para o GnuPG, como o GnuPG 2.2.23.

Como solução alternativa temporária, considere evitar a importação de chaves OpenPGP com preferências AEAD até que o problema seja resolvido.

Exploit

Correção

Buffer Overflow

Enumeração de Fraquezas

CWE-120

Identificadores relacionados

CVE-2020-25125

OPENSUSE-SU-2024:10815-1

Produtos afetados

Gnupg

Gpg4Win

Referências · 21

• 🔥 https://bugzilla.opensuse.org/show_bug.cgi?id=1176034 · Exploit
• https://t.me/tmfeed/92380 · Publicação no Telegram
• https://osv.dev/vulnerability/openSUSE-SU-2024:10815-1 · Aviso do Fabricante
• https://t.me/opennews/7363 · Publicação no Telegram
• https://suse.com/security/cve/CVE-2018-12020 · Nota
• https://suse.com/security/cve/CVE-2008-1530 · Nota
• https://suse.com/security/cve/CVE-2020-25125 · Nota
• https://suse.com/security/cve/CVE-2006-0455 · Nota
• https://suse.com/security/cve/CVE-2006-3746 · Nota
• https://lists.gnupg.org/pipermail/gnupg-announce/2020q3/000448.html · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2019-14855 · Nota
• https://dev.gnupg.org/T5050 · Nota
• http://openwall.com/lists/oss-security/2020/09/03/5 · Nota
• https://suse.com/security/cve/CVE-2006-6169 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-25125 · Nota de Segurança