CVE-2021-3521

RPM'in imza işlevselliğinde bir hata bulunmaktadır. OpenPGP alt anahtarları, bir "bağlama imzası" aracılığıyla bir birincil anahtar ile ilişkilendirilir. RPM, alt anahtarları içe aktarmadan önce bağlama imzasını kontrol etmez. Bir saldırgan, meşru bir genel anahtara kötü amaçlı bir alt anahtar eklemeyi başarırsa veya başka bir tarafı bunu yapmaya ikna ederse, RPM yanlışlıkla kötü amaçlı bir imzaya güvenebilir. Bu hatanın en büyük etkisi veri bütünlüğü üzerindedir. Bu hatayı istismar etmek için bir saldırganın ya bir RPM deposunu ele geçirmesi ya da bir yöneticiyi güvenilmeyen bir RPM veya genel anahtar yüklemeye ikna etmesi gerekir. Yalnızca güvenilir kaynaklardan gelen RPM'lerin ve genel anahtarların kullanılması şiddetle önerilir.