07.12.2006 10:40
Alert! Sicherheitsleck in GnuPG
Mit neuen Paketen schließen die GnuPG-Entwickler Sicherheitslücken in der Verschlüsselungssoftware, durch die Angreifer etwa mit präparierten E-Mails Code einschleusen können. Nicht nur verschlüsselte, sondern auch signierte E-Mails können den Fehler auslösen.
Durch manipulierte OpenPGP-Pakete können Angreifer einen Funktionszeiger verändern und dereferenzieren. GnuPG verarbeitet OpenPGP-Pakete mit Filtern, die über so genannte Kontext-Strukturen untereinander kommunizieren. Der Datenstrom in die Filter wird jedoch nicht immer abgebrochen, bevor die Kontext-Struktur dealloziiert wird. Dadurch greift der Filter manchmal auf eine dealloziierte Kontext-Struktur zu – in dieser Struktur befindet sich auch ein Zeiger auf den Entschlüsselungsalgorithmus. Durch eine sorgsam präparierte OpenPGP-Nachricht kann ein Angreifer diesen Funktionszeiger und anzuspringenden Programmcode kontrollieren.
Als anfällig hat der Projektleiter Werner Koch alle GnuPG-Versionen vor 1.4.6 sowie 2.0.2 ausgemacht. Aktuelle Quellcode- und Windows-Pakete stehen auf der Homepage des Projektes zum Download bereit; die Linuxdistributoren verteilen inzwischen ebenfalls neue Fassungen. Koch rät allen GnuPG-Nutzern, so schnell wie möglich auf die neuen Versionen umzusteigen.
Siehe dazu auch:
- GnuPG: remotely controllable function pointer, Sicherheitsmeldung von Werner Koch
- Download der aktuellen GnuPG-Pakete
(dmk)
Unsere Entdeckung, dass via Skype verschickte URLs von Microsoft besucht werden, hat für einigen Aufruhr gesorgt. Mittlerweile liegen etwas mehr Informationen dazu auf dem Tisch. 
Die aktuelle BKA-Trojaner sperrt nicht nur den Rechner, sondern legt auch Bilder mit Kinderpornografie auf dem System ab. Mit Desinfec't kann man diesen Unrat aufspüren und beseitigen. 
Der Krypto-Experte Karsten Nohl kritisiert die Absenkung des Schutzniveaus für Steuer-, Sozial- und Gerichtsdaten im Rahmen der gesetzlichen Anpassungen für De-Mail. 
Ganze zwölf Sicherheitslücken soll die neue Quicktime-Version für Windows beseitigen - allesamt kritischer Natur. 
Wer verhindern will, dass Nutzer auf fremde Kalender zugreifen oder eigenen PHP-Code in den Server einschleusen, sollte baldmöglichst auf eine der aktuellen Versionen umsteigen. 
