パスワードを忘れた？ アカウント作成
Close
12032 story

GnuPGに署名データ改変の脆弱性 11

ストーリー by Acanthopanax
通り抜け禁止 部門より

tamo曰く、"gnupg-announce における"GnuPG does not detect injection of unsigned data"という発表によると、つい先日の分離署名 false positive に引き続き、GnuPG の非分離署名にも脆弱性が発見されました(本家記事)。この脆弱性は GnuPG 1.4.2.2 を除き、以前のすべてのバージョンに存在します (1.9 シリーズの gpgsm には影響なし)。
これは、gpg の署名データパケットにおいて、O (ワンパス) + D (データ) + S (署名) という正規の形式以外に O1 + D1 + S1 + O2 + D2 + S2 のような形式も受け入れているところに原因があります。F (フェイク) + O + D + S というパケットがあると、F を華麗にスルーしたあとで O + D + S を検証し、正しい署名であると確認しますが、出力オプションによっては F + D が署名されているように見えてしまったり、F だけが出力されることさえあるそうです。
脆弱性を修正した 1.4.2.2 では、この拡張機能を無効にして O + D + S と S + D 形式のみ受け入れるようになりました。"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

GnuPGに署名データ改変の脆弱性 More

  • 対処法 (スコア:4, 参考になる)

    by Technical Type (3408) on 2006年03月11日 12時57分 (#899045)
    入れ替えますかね。Download [gnupg.org] のページから適当なミラー (Ring [ring.gr.jp] あたりが良いかと) を探して入れなおし。

    Windows だったら Binaries [gnupg.org] にある gnupg-w32cli-1.4.2.2.exe を入れれば良いかと。

    こういうセキュリティー関係のモノは、「脆弱性があるバージョン使ってやがら」と一目瞭然でバレると見下げられかねないので、さっさと入れ替えないと格好が悪いかな。

  • Secuniaでの脆弱性評価 (スコア:2, 参考になる)

    by SassyOS2 (8523) on 2006年03月11日 10時13分 (#898959) ホームページ 日記
    GnuPG Unsigned Data Injection Detection Vulnerability [secunia.com]によると、5段階の3(Moderately critical)となっている。

    # ま、そんだけだけど土曜の朝なのでIDで

  • コメントすくねー (スコア:2, 参考になる)

    by Anonymous Coward on 2006年03月11日 11時33分 (#898989)
    バグの背景には頻繁なフォーマット変更と、いろんなPGP亜種の互換性があるとか書いてある。ちょっと英語変だけど。

    まあデフォルトオプションでの検証で発生する問題でないのでリスクは中程度という判断かね。

  • 華麗にスルー (スコア:2, 参考になる)

    by Anonymous Coward on 2006年03月11日 11時46分 (#898995)
    「華麗にスルー」ってのがどういう意味かよく分からなかったけど、
    アナウンスを読むと、

    > gpg now happily skips F for verification and does a proper signature
    > verification of D and if this succeeds, prints a positive result.

    とのことなので、Fを正しく無視できる（正常な動作）、という意味のことを
    表現したかったのでしょうか。

    • Re:華麗にスルー (スコア:0)

      by Anonymous Coward
      「華麗にスルー」って、ネット上でたまに見かける表現で、
      意味はなんとなく分かるけどニュアンスまでは分かりませんでした。

      おそらく語源としては、サッカーでせっかくの良いパスを
      スルーしてしまう、ということだろう、と思ってたので、
      悪い意味に使うのかなと思ってたのですが、そうでもない
      ということなのでしょうか？

      でも、ネット上に固有の表現って、悪い意味（相手や対象を
      けなしたり非難したりする表現）のものが多いような気がします。
      気のせいかもしれませんが。

      • Re:華麗にスルー (スコア:3, 参考になる)

        by Anonymous Coward on 2006年03月11日 14時37分 (#899080)
        おそらく語源としては、サッカーでせっかくの良いパスをスルーしてしまう、ということだろう、と思ってたので、悪い意味に使うのかなと思ってたのですが、そうでもないということなのでしょうか？


        サッカーのスルーパスというのは、オフサイド対策として、ボールを受け取る人が、まだ、ボールを受け取るべき位置にいないパスのことです。受け取る人は、パスが出されたあと、敵陣に走りこんでいって、ボールに追いつきます。つまり、パスをスルーするのではなく、相手ディフェンダーをスルーするのです。スルーパスは、パスを出す人が、敵の位置をよく把握しておいて、味方と息をあわせる必要がある、難度の高い行為なので、パスが成立した時は、「華麗」と形容され、味方が一気に有利になります（大抵の場合、得点チャンスです）。

        これに対して、「華麗にスルー」という言葉自体は、「フレームの元に反応しないで、全く別の話題を振る」という意味でも使われます。この場合、サッカーのメタファーは成り立ちません。「華麗」「スルー」という字面だけですが、この組み合わせは、前述の通り、サッカー用語が元になっています。
        シェア
        親コメント

        • Re:華麗にスルー (スコア:1, 参考になる)

          by Anonymous Coward on 2006年03月11日 15時50分 (#899099)
          ゴール前でサイドからのパスをシュートすると思わせながらそのまま見送り、さらに後ろから来た味方に蹴り込ませるようなプレー(または、その失敗)が「華麗にスルー」なんじゃないかと思ってたのですが。

          まぁ表現として「華麗にスルー」を使う時は、たいてい失敗例の方が近い意味になりますかねぇ(いろんな意味で)。
          シェア
          親コメント

  • 忘れ物をお届けにまいりました (スコア:0, フレームのもと)

    by Anonymous Coward on 2006年03月12日 19時42分 (#899677)
    セキュリティホールが浜の真砂の如く尽きない感もあるGnuPGですが…
typodupeerror

犯人はmoriwaka -- Anonymous Coward