PGP と GnuPG

10日付で GnuPG の ver.1.4.3 RC 2 がリリースされています。

特に問題がなければ、これが次期安定版の ver.1.4.3 としてリリースされることになります。

なお、今回のリリースでは、ソースコードのみのリリースとなっています。 (Windows 版バイナリはリリースされていません。)

また、今回の RC 2 では、先日リリースされた

• 1.4.2.1 で修正された分離署名の検証処理に起因する脆弱性 : False positive signature verification in GnuPG
• 1.4.2.2 で修正された非分離署名の検証処理に起因する脆弱性 : GnuPG does not detect injection of unsigned data

の修正が含まれています。 RC 1 をお使いの方は、バージョンアップをお忘れなく。

情報源/参考情報

• GnuPG.org - The GNU Privacy Guard
  • Mailing List - gnupg-users [Help and discussion among users of GnuPG]
    • [Announce] Second release candidate for 1.4.3 available
  • Mailing List - gnupg-announce [Important announcements]
    • [Announce] False positive signature verification in GnuPG
    • [Announce] GnuPG does not detect injection of unsigned data

投稿者 : FUDAN , 日時 : 2006年03月11日 17:22 , パーマリンク , コメント (0) , トラックバック (0)

9日付で、安定版 GnuPG の ver.1.4.2.2 がリリースされています。

今回のリリースはセキュリティフィックスで、ソースコードと Windows 版バイナリが同時にリリースされています。

GnuPG Announce メーリングリストに流れたアナウンスによると、

Signature verification of non-detached signatures may give a positive result but when extracting the signed data, this data may be prepended or appended with extra data not covered by the signature. Thus it is possible for an attacker to take any signed message and inject extra arbitrary data.

Detached signatures (a separate signature file) are not affected.

今回発見された脆弱性は、分離署名ではない署名の検証処理に起因するもので、署名されたメッセージの中に攻撃者が余分な任意のデータを注入できてしまうとのこと。

1.4.2.2 よりも前の全てのバージョンにこの脆弱性が存在するということで、早急なバージョンアップが推奨されています。

情報源/参考情報

• GnuPG.org - The GNU Privacy Guard
  • Mailing List - gnupg-announce [Important announcements]
    • [Announce] GnuPG does not detect injection of unsigned data

投稿者 : FUDAN , 日時 : 2006年03月10日 21:28 , パーマリンク , コメント (0) , トラックバック (0)