CVE-2019-11841
Açıklama
supplementary Go cryptography libraries 2019-03-25 sürümündeki crypto/openpgp/clearsign/clearsign.go dosyasında bir mesaj sahteciliği sorunu keşfedilmiştir. RFC 4880 bölüm 7'deki OpenPGP Mesaj Formatı spesifikasyonuna göre, açık metin imzalı bir mesaj, bir veya daha fazla isteğe bağlı "Hash" Armor Header içerebilir. "Hash" Armor Header, imza için kullanılan mesaj özet algoritmasını/algoritmalarını belirtir. Ancak, Go clearsign paketi bu başlığın değerini yoksayar ve bu durum bir saldırganın bunu taklit etmesine olanak tanır. Sonuç olarak, bir saldırgan kurbanın, imzanın gerçekte kullanılandan farklı bir mesaj özet algoritması kullanılarak oluşturulduğuna inanmasını sağlayabilir. Dahası, kitaplık genel olarak Armor Header ayrıştırmayı atladığı için, bir saldırgan yalnızca rastgele Armor Header'lar eklemekle kalmaz, aynı zamanda imzaları geçersiz kılmadan açık metin mesajların başına rastgele metinler ekleyebilir.
Nasıl düzeltilir
- golang.org/x/crypto0.0.0-20190424203555-c05e17bb3b2d ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| golang crypto | 2019-03-25 | — |
| debian debian_linux | 8.0, 9.0 | — |
| golang.org/x/cryptoGo | v < 0.0.0-20190424203555-c05e17bb3b2d | 0.0.0-20190424203555-c05e17bb3b2d |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.