CVE-2019-6690：python-gnupg 0.4.3 中的输入验证不当

我们发现在使用对称加密时，可以通过 gnupg.GPG.encrypt() 和 gnupg.GPG.decrypt() 方法的 passphrase 属性注入数据。

所提供的密码短语未经过换行符验证，库会将 --passphrase-fd=0 传递给 gpg 可执行文件，gpg 期望密码短语位于 标准输入的第一行，而要解密的密文或要加密的 明文则位于后续行。

通过提供包含换行符的密码短语，攻击者可以 控制/修改正在解密/加密的密文/明文。

受影响版本

python-gnupg 0.4.3，可能还包括更早的版本

缓解措施

用户应升级到 0.4.4

时间线

• 2019-01-19：在 Insomni'hack teaser 2019 期间发现漏洞
• 2019-01-20：创建 PoC
• 2019-01-22：申请 CVE，并通知厂商
• 2019-01-23：分配 CVE-2019-6690
• 2019-01-23：厂商回应，修复已提交
• 2019-01-24：厂商发布 0.4.4

参考

• https://pypi.org/project/python-gnupg/
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-6690
• https://github.com/hackeriet/CVE-2019-6690-python-gnupg-vulnerability
• https://ctftime.org/task/7458

概念验证

假设某个应用程序通过成功解密数据来认证用户， 这里提供了该漏洞的一种利用方式：

https://github.com/hackeriet/CVE-2019-6690-python-gnupg-vulnerability

依赖

Debian：apt install libmojolicious-perl python3-gnupg python3-flask

Nix：nix-shell

运行服务器

./server.py

运行利用脚本

./exploit.pl

致谢

漏洞由 Alexander Kjäll 和 Stig Palmquist 发现。

感谢 remmer。