DFN-CERT-2013-1084 Schwachstelle in GPG2 [Linux][SuSE]

Von DFN CERT

- 11. Juni 2013

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket gpg2

Betroffene Plattformen:

openSUSE 11.4
openSUSE 12.3

Eine Schwachstelle in GPG2 ermöglicht einem entfernten Angreifer
schlimmstenfalls beliebige Befehle auszuführen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://download.novell.com/index.jsp

CVE-2012-6085: Schwachstelle in GnuPG

In GnuPG 1.4.x, vor Version 1.4.13, und 2.0.x, vor Version 2.0.19 kann eine
Verletzung von Speicherstrukturen beim Import von nicht wohlgeformten
OpenPGP-Schlüsseln auftreten. Ein entfernter Angreifer kann diese
Schwachstelle ausnutzen, um GnuPG zum Absturz zu bringen und den
Public-Keyring zu korrumpieren. Schlimmstenfalls ist die Ausführung
beliebiger Befehle mit den Rechten des Benutzers möglich.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2013-1084/

Das Hersteller Advisory:
http://lists.opensuse.org/opensuse-updates/

Schwachstelle CVE-2012-6085:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-6085