CVE-2019-6690: Validação de Entrada Incorreta no python-gnupg 0.4.3

Descobrimos uma maneira de injetar dados através da propriedade passphrase dos métodos gnupg.GPG.encrypt() e gnupg.GPG.decrypt() quando a criptografia simétrica é usada.

A frase secreta fornecida não é validada para quebras de linha, e a biblioteca passa --passphrase-fd=0 para o executável gpg, que espera a frase secreta na primeira linha do stdin, e o texto cifrado a ser decifrado ou o texto plano a ser cifrado nas linhas subsequentes.

Ao fornecer uma frase secreta contendo uma quebra de linha, um invasor pode controlar/modificar o texto cifrado/texto plano que está sendo decifrado/cifrado.

Vulnerável

python-gnupg 0.4.3, e talvez versões anteriores

Mitigação

Os usuários devem atualizar para a versão 0.4.4

Cronograma

• 2019-01-19: Vulnerabilidade descoberta durante o Insomni'hack teaser 2019
• 2019-01-20: PoC criado
• 2019-01-22: Solicitado CVE, fornecedor notificado
• 2019-01-23: CVE-2019-6690 atribuído
• 2019-01-23: Fornecedor respondeu, correção commitada
• 2019-01-24: Fornecedor lançou a versão 0.4.4

Referências

• https://pypi.org/project/python-gnupg/
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-6690
• https://github.com/hackeriet/CVE-2019-6690-python-gnupg-vulnerability
• https://ctftime.org/task/7458

Prova de Conceito

Aplicação hipotética usando decifração bem-sucedida de dados para autenticar um usuário, e uma maneira de explorá-la está disponível aqui:

https://github.com/hackeriet/CVE-2019-6690-python-gnupg-vulnerability

Dependências

Debian: apt install libmojolicious-perl python3-gnupg python3-flask

Nix: nix-shell

Executar o servidor

./server.py

Executar o exploit

./exploit.pl

Créditos

Vulnerabilidade descoberta por Alexander Kjäll e Stig Palmquist.

Agradecimentos a remmer.