Lỗ hổng GnuPG cho phép kẻ tấn công giả mạo chữ ký

Một nhà nghiên cứu bảo mật vừa phát hiện ra lỗ hổng bảo mật nghiêm trọng trong client mã hóa email phổ biến sử dụng chuẩn OpenPGP, dựa trên GnuPG để mã hóa và ký thư điện tử, theo đó lỗ hổng GnuPG trong công cụ mã hóa cho phép kẻ tấn công giả mạo chữ ký.

Lỗ hổng được tiết lộ sau gần 1 tháng sau khi các nhà nghiên cứu tiết lộ một loạt các lỗ hổng được gọi là eFail trong các công cụ mã hóa PGP và S/Mime có thể cho phép kẻ tấn công phơi nhiễm email được mã hóa dưới dạng plaintext, ảnh hưởng đến các chương trình email bao gồm Thunderbird, Apple Mail và Outlook.

Nhà phát triển phần mềm Marcus Brinkmann là người phát hiện lỗ hổng kiểm soát đầu vào được gọi là SigSpoof, cho phép kẻ tấn công giả mạo chữ ký số với khó công khai hoặc ID của người dùng mà không yêu cầu bất kỳ khóa cá nhân hay khóa công khai nào liên quan.

Lỗ hổng bảo mật CVE-2018-12020 ảnh hưởng đến các ứng dụng email phổ biến như GnuPG, Enigmail, GPGTools và python-gnupg hiện đã được vá trong bản cập nhật phần mềm mới nhất.

lo hong gnupg cho phep ke tan cong gia mao chu ky

Lỗ hổng GnuPG trong công cụ mã hóa cho phép kẻ tấn công giả mạo chữ ký

Theo các nhà nghiên cứu, giao thức OpenPGP cho phép thêm tham số filename của file đầu vào ban đầu vào thư đã được ký hoặc mã hóa, kết hợp với thông báo trạng thái GnuPG (bao gồm thông tin chữ ký) trong một đường dữ liệu đơn bằng cách thêm từ khóa được xác định trước để tách chúng.

Theo nhà bảo trì GnuPG Werner Koch, các thông báo trạng thái được phân tích bởi các chương trình để lấy thông tin tính hợp lệ của chữ ký và các thông số khác từ gpg".

Trong quá trình giải mã thư ở phía đầu người nhận, ứng dụng client chia tách thông tin bằng từ khóa đó và hiển thị thư có chữ ký hợp leek, nếu người dùng có tùy chọn kích hoạt file gpg.conf.

lo hong gnupg cho phep ke tan cong gia mao chu ky 2

Các nhà nghiên cứu cũng phát hiện ra filename được bao gồm có thể lên tới 255 ký tự không được kiểm soát đúng cách có thể cho phép kẻ tấn công thêm nguồn cấp dữ liệu dòng hoặc các ký tự điều khiển khác.

Nhà nghiên cứu bảo mật Brinkmann minh họa cách thức các lỗ hổng được sử dụng để tiêm nhiễm các thông báo trạng thái GnuPG giả vào trình phân tích cú pháp ứng dụng để giả mạo kết quản xác minh chữ ký và giải mã thông báo.

Nhà nghiên cứu cũng cho rằng lỗ hổng này có khả năng ảnh hưởng đến phần lớn cơ sở hạ tầng cốt lõi, vượt xa các email được mã hóa vì GnuPG không chỉ được sử dụng để bảo mật email mà còn được sử dụng để bảo mật các bản sao lưu, cập nhật phần mềm trong các bản phân phối và mã nguồn trong hệ thống kiểm soát phiên bản như Git.

Brinkmann cũng đưa ra 3 proofs-of-concept minh họa cách thức giả mạo chữ ký trong Enigmail và GPGTools, cách thức giả mạo chữ ký và mã hóa trong Enigmail, cũng như cách thức giả mạo chữ ký trong dòng lệnh.

Người dùng được khuyến cáo nâng cấp lên các phiên bản mới nhất để tránh bị trở thành nạn nhân của lỗ hổng:

- Nâng cấp lên GnuPG 2.2.8 hoặc GnuPG 1.4.23: DownloadGnuPG
- Nâng cấp lên Enigmail 2.0.7:
Download Enigmail
- Nâng cấp lên GPGTools 2018.3:
Download GPG Tools

Các nhà phát triển được khuyến cáo thêm --no-verbose" vào tất cả các yêu cầu của GPG và nâng cấp lên python-gnupg 0.4.3.

Các ứng dụng sử dụng công cụ mã hóa GPGME sẽ an toàn hơn. Ngoài ra không nên kích hoạt flag --status-fd-verbose để đảm bảo an toàn.

https://thuthuat.taimienphi.vn/lo-hong-gnupg-cho-phep-ke-tan-cong-gia-mao-chu-ky-35818n.aspx
AMD đang trở lại một cách đầy mạnh mẽ với bộ vi xử lý Ryzen của mình. Sau thành công của Ryzen thế hệ thứ nhất, AMD đang dần tung ra bộ vi xử lý Ryzen thế hệ thứ hai của mình. Mới đây, trên các trang mạng đã rò rỉ benchmark vi xử lý AMD Ryzen 5 2500X và Ryzen 3 2300X với thông số ấn tượng có thể cung cấp hiệu năng ngang bằng với vi xử lý Intel thế hệ thứ 8.

Tác giả: Hoàng Bách     (4.0★- 14 đánh giá)  ĐG của bạn?

  

Bài viết liên quan

Lỗ hổng trên Chrome cho phép hacker tìm ra mọi thông tin người dùng
Bản cập nhật cho Flash Player vá lỗ hổng thực thi mã
Lỗ hổng bảo mật trên PowerPoint phát tán phần mềm độc hại
Lỗi trong plugin WordPress Live Chat cho phép kẻ tấn công tiêm nhiễm mã độc
Mã hóa file và thư mục trên Ubuntu
Từ khoá liên quan:

Lỗ hổng GnuPG trong công cụ mã hóa

, lỗ hổng GnuPG, lỗ hổng cho phép giả mạo chữ ký,

SOFT LIÊN QUAN
  • GnuPG

    Bảo mật dữ liệu cho máy tính

    GnuPG là công cụ bảo mật được dùng cho máy tính với khả năng bảo vệ quá trình trao đổi thông tin và lưu trữ dữ liệu. Người dùng cũng có thể sử dụng phần mềm này để mã hóa dữ liệu và tạo chữ ký số, tạo các loại khóa công khai và riêng tư để dùng trong các trường hợp cụ thể. Bên cạnh đó, GnuPG cũng tích hợp những thuật toán mã hóa dữ liệu mạnh mẽ và an toàn để mang đến cho người dùng sự an tâm tuyệt đối.

Tin Mới

  • Bing Translator - Dịch nhanh văn bản trên Word

    Bạn có thể dịch văn bản trực tiếp trong Word bằng công cụ Bing Translator, giúp tiết kiệm thời gian mở các phần mềm dịch khác. Cách dịch nhanh văn bản trên Word bằng Bing Translator sẽ được Taimienphi.vn hướng dẫn cụ

  • Adobe sắp phát hành Photoshop phiên bản web miễn phí cho tất cả người dùng

    Adobe hiện đang thử nghiệm phiên bản Photoshop Online miễn phí cho tất cả người dùng. Bản dùng thử hiện giới hạn cho người dùng ở Canada nhưng sẽ sớm mở rộng cho người dùng ở các khu vực khác. Hiện tại người dùng ở Canada có thể truy cập Photoshop trên web thông qua tài khoản Adobe miễn phí.

  • Facebook Messenger có phiên bản trên Web rất tiện dụng

    Ngay từ lúc ra mắt, Facebook Messenger phiên bản web đã được nhiều người lựa chọn bởi tính năng tiện dụng, đáp ứng được người dùng. Thay vì truy cập vào Facebook, bạn hoàn toàn có thể sử dụng trò chuyện dễ dàng. Chúng ta cùng trải nghiệm phiên bản Facebook Messenger trên Web này nhé.

  • Link tải Mmlive Mod APK bản mới nhất mở khóa phòng

    Mở khóa phòng Vip, cho phép chụp/quay video màn hình và không cần đăng nhập là những tính năng nổi bật khi tải và cài Mmlive Mod APK bản mới nhất. Không chỉ vậy, bạn còn có thể sử dụng các tính năng nổi bật của ứng dụng như theo dõi, xem Livestream của Idol và đăng tải video trực tuyến kiếm tiền vô cùng dễ dàng. Truy cập link tải Mmlive Mod APK bản mới nhất trong bài viết dưới đây.