CVE-2019-6690: Validación de entrada incorrecta en python-gnupg 0.4.3

Descubrimos una forma de inyectar datos a través de la propiedad passphrase de los métodos gnupg.GPG.encrypt() y gnupg.GPG.decrypt() cuando se utiliza cifrado simétrico.

La passphrase suministrada no se valida para saltos de línea, y la biblioteca pasa --passphrase-fd=0 al ejecutable gpg, que espera la passphrase en la primera línea de stdin, y el texto cifrado a descifrar o el texto plano a cifrar en las líneas subsiguientes.

Al proporcionar una passphrase que contenga un salto de línea, un atacante puede controlar/modificar el texto cifrado/texto plano que se descifra/cifra.

Vulnerable

python-gnupg 0.4.3, y posiblemente versiones anteriores

Mitigación

Los usuarios deberían actualizar a 0.4.4

Cronología

• 2019-01-19: Vulnerabilidad descubierta durante el Insomni'hack teaser 2019
• 2019-01-20: PoC creado
• 2019-01-22: Solicitud de CVE, proveedor notificado
• 2019-01-23: CVE-2019-6690 asignado
• 2019-01-23: El proveedor respondió, corrección confirmada
• 2019-01-24: El proveedor publicó 0.4.4

Referencias

• https://pypi.org/project/python-gnupg/
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-6690
• https://github.com/hackeriet/CVE-2019-6690-python-gnupg-vulnerability
• https://ctftime.org/task/7458

Prueba de concepto

Una aplicación hipotética que utiliza el descifrado exitoso de datos para autenticar a un usuario, y una forma de explotarla, está disponible aquí:

https://github.com/hackeriet/CVE-2019-6690-python-gnupg-vulnerability

Dependencias

Debian: apt install libmojolicious-perl python3-gnupg python3-flask

Nix: nix-shell

Ejecutar el servidor

./server.py

Ejecutar el exploit

./exploit.pl

Créditos

Vulnerabilidad descubierta por Alexander Kjäll y Stig Palmquist.

Gracias a remmer.