Actualización crítica de GnuPG

    Las versiones no actualizadas de GnuPG contienen una vulnerabilidad que permite que se den por buenas alteraciones en archivos y documentos firmados digitalmente y es necesario que sea actualizado. GnuPG es un software "Open Source" (GPL) y gratuito, que permite la firma y cifrado de documentos mediante criptografía simétrica y asimétrica. Las versiones no actualizadas de GnuPG contienen una grave vulnerabilidad que afecta a la verificación de las firmas digitales de archivos y documentos. El problema radica en que si bien GnuPG detecta adecuadamente cuando una firma es incorrecta, por modificación de los datos originales asociados, y muestra esa información en pantalla, el código de retorno que proporciona el programa al terminar su ejecución es "cero", que significa que la firma es correcta.

    Se recomienda a todos los usuarios de GnuPG que actualicen con la mayor urgencia posible a la versión 1.4.2.1, recién publicada.

    Por lo tanto, aunque una persona examinando la pantalla es notificada de que la firma es incorrecta, un programa automatizado recibirá un código "cero", indicando una firma correcta.

    Por ello, la vulnerabilidad es especialmente grave en entornos automatizados y en herramientas que ocultan las operaciones criptográficas internas al usuario. Por ejemplo, en entornos UNIX, la verificación de paquetes de software como RPM o DEB.

    Hispasec recomienda a todos los usuarios de GnuPG que actualicen con la mayor urgencia posible a la versión 1.4.2.1, recién publicada.

    Esto incluye también a los usuarios que empleen GnuPG de forma indirecta, normalmente sin su conocimiento, como el caso descrito de los paquetes de software RPM, DEB o similares, programas de correo electrónicos, etc.

    Más información sobre esta noticia:
    http://www.hispasec.com/unaaldia/2673/comentar

    Además:

    The GNU Privacy Guard - GnuPG
    http://www.gnupg.org/

    [Announce] False positive signature verification in GnuPG
    http://lists.gnupg.org/pipermail/gnupg-announce/2006q1/000211.html


    © 2024 SomosLIbres.org. All Rights Reserved. Contacto: admin @ somoslibres.org
    Esta obra está bajo una licencia de Creative Commons Attribution-Share Alike 4.0 International License.
    | Buscar en el Sitio |Política de Privacidad|

    Please publish modules in offcanvas position.