PT-2026-5009 · Gnupg · Gnupg

Openai Security Research · Publicado 2026-01-27 · Atualizado 2026-05-27 · CVE-2026-24881

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do GnuPG anteriores à 2.5.17

Descrição Uma mensagem CMS (S/MIME) EnvelopedData especialmente elaborada com uma chave de sessão encapsulada excessivamente grande pode levar a um estouro de buffer baseado em pilha no gpg-agent durante o processamento de PKDECRYPT--kem=CMS. Isso pode resultar em negação de serviço e, potencialmente, corrupção de memória que leva à execução remota de código.

Recomendações Atualize o GnuPG para a versão 2.5.17 ou posterior.

Exploit

Correção

Stack Overflow

Enumeração de Fraquezas

CWE-121

Identificadores relacionados

CVE-2026-24881

JLSEC-2026-564

OPENSUSE-SU-2026:10112-1

Produtos afetados

Gnupg

Referências · 14

• 🔥 https://dev.gnupg.org/T8044 · Exploit
• https://twitter.com/CVEnew/status/2016226145616748797 · Publicação no Twitter
• https://suse.com/security/cve/CVE-2026-24882 · Nota
• https://suse.com/security/cve/CVE-2026-24883 · Nota
• https://twitter.com/oss_security/status/2020359875256275020 · Publicação no Twitter
• https://github.com/advisories/GHSA-5w36-x85h-pphm · Nota
• https://osv.dev/vulnerability/CVE-2026-24881 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2026-24881 · Nota
• https://openwall.com/lists/oss-security/2026/01/27/8 · Nota
• https://osv.dev/vulnerability/openSUSE-SU-2026:10112-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/JLSEC-2026-564 · Aviso do Fabricante
• https://t.me/true_secator/7979 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-24881 · Nota de Segurança
• https://twitter.com/TheHackerWire/status/2016232014060650968 · Publicação no Twitter