GnuPG es un software "Open Source" (GPL) y gratuito, que permite la firma y cifrado de documentos mediante criptografía simétrica y asimétrica.
Las versiones no actualizadas de GnuPG contienen una grave vulnerabilidad que afecta a la verificación de las firmas digitales de archivos y documentos. El problema radica en que si bien GnuPG detecta adecuadamente cuando una firma es incorrecta, por modificación de los datos originales asociados, y muestra esa información en pantalla, el código de retorno que proporciona el programa al terminar su ejecución es "cero", que significa que la firma es correcta.
Se recomienda a todos los usuarios de GnuPG que actualicen con la mayor urgencia posible a la versión 1.4.2.1, recién publicada.
Por lo tanto, aunque una persona examinando la pantalla es notificada de que la firma es incorrecta, un programa automatizado recibirá un código "cero", indicando una firma correcta.
Por ello, la vulnerabilidad es especialmente grave en entornos automatizados y en herramientas que ocultan las operaciones criptográficas internas al usuario. Por ejemplo, en entornos UNIX, la verificación de paquetes de software como RPM o DEB.
Hispasec recomienda a todos los usuarios de GnuPG que actualicen con la mayor urgencia posible a la versión 1.4.2.1, recién publicada.
Esto incluye también a los usuarios que empleen GnuPG de forma indirecta, normalmente sin su conocimiento, como el caso descrito de los paquetes de software RPM, DEB o similares, programas de correo electrónicos, etc.
Más información sobre esta noticia:
http://www.hispasec.com/unaaldia/2673/comentar
Además:
The GNU Privacy Guard - GnuPG
http://www.gnupg.org/
[Announce] False positive signature verification in GnuPG
http://lists.gnupg.org/pipermail/gnupg-announce/2006q1/000211.html
