CVE-2019-6690: التحقق غير السليم من المدخلات في python-gnupg 0.4.3

اكتشفنا طريقة لحقن البيانات عبر خاصية عبارة المرور الخاصة بالطريقتين gnupg.GPG.encrypt() و gnupg.GPG.decrypt() عند استخدام التشفير المتماثل.

لا يتم التحقق من عبارة المرور المُقدَّمة لخلوّها من أسطر جديدة، وتمرّر المكتبة --passphrase-fd=0 إلى البرنامج التنفيذي gpg، الذي يتوقع عبارة المرور في السطر الأول من الإدخال القياسي (stdin)، والنص المشفَّر الذي سيتم فك تشفيره أو النص الصريح الذي سيتم تشفيره في الأسطر اللاحقة.

من خلال توفير عبارة مرور تحتوي على سطر جديد، يمكن للمهاجم التحكم في/تعديل النص المشفَّر/الصريح الذي يتم فك تشفيره/تشفيره.

الإصدارات المتأثرة

python-gnupg 0.4.3، وربما الإصدارات الأقدم

التخفيف

يجب على المستخدمين الترقية إلى 0.4.4

الجدول الزمني

• 2019-01-19: تم اكتشاف الثغرة خلال Insomni'hack teaser 2019
• 2019-01-20: تم إنشاء إثبات المفهوم (PoC)
• 2019-01-22: تم التقدّم بطلب للحصول على CVE، وإخطار المطوّر
• 2019-01-23: تم تعيين CVE-2019-6690