PGP と GnuPG

今回の脆弱性は、特殊な細工を施したメッセージにより gpg や gpg2 をクラッシュさせることができるというもので、 GnuPG を対話的に実行する場合に影響を受ける(バッチモードで動作している場合には、今回の脆弱性の影響を受けない)ようです。

When running GnuPG interactively, special crafted messages may be used
to crash gpg or gpg2.  Running gpg in batch mode, as done by all
software using gpg as a backend (e.g. mailers), is not affected by
this bug.
 
Exploiting this overflow seems to be possible.
 
gpg-agent, gpgsm, gpgv or other tools from the GnuPG suite are not
affected.

[引用元 : GnuPG.org : Mailing List - gnupg-announce [Important announcements] - Subject: [Announce] GnuPG 1.4 and 2.0 buffer overflow, From: Werner Koch, Date: Mon Nov 27 18:13:02 CET 2006]

なお、現在はソースコードに対するパッチのみの公開となっていますが、今週中には修正版がリリースされることになっているようです。

> Will this lead to a 1.4.6 / 2.0.1 release anytime soon or is the bug
> not serious enough for that?
 
Yes. This week.

[引用元 : GnuPG.org : Mailing List - gnupg-users [Help and discussion among users of GnuPG] - Subject: Re: [Announce] GnuPG 1.4 and 2.0 buffer overflow, From: Werner Koch, Date: Mon Nov 27 23:04:05 CET 2006]

情報源/参考情報

• GnuPG.org - The GNU Privacy Guard
  • Mailing List - gnupg-announce [Important announcements]
    • [Announce] GnuPG 1.4 and 2.0 buffer overflow
  • Mailing List - gnupg-users [Help and discussion among users of GnuPG]
    • Re: [Announce] GnuPG 1.4 and 2.0 buffer overflow