Debian-Sicherheitsankündigung

DSA-1266-1 gnupg -- Mehrere Verwundbarkeiten

Datum des Berichts:

13. Mär 2007

Betroffene Pakete:

gnupg

Verwundbar:

Sicherheitsdatenbanken-Referenzen:

In der Debian-Fehlerdatenbank: Fehler 413922, Fehler 414170.
In Mitres CVE-Verzeichnis: CVE-2007-1263.

Weitere Informationen:

Gerardo Richarte entdeckte, dass GnuPG, ein freier PGP-Ersatz, unzureichende Benutzerrückmeldung liefert, falls ein OpenPGP-Text sowohl signierte als auch unsignierte Teile enthält. Das Einfügen von Textsegmenten in einen signierten Text könnte ausgenutzt werden, um den Inhalt signierter Texte zu fälschen. Diese Aktualisierung verhindert solche Angriffe; das alte Verhalten kann mit der Option --allow-multiple-messages wieder aktiviert werden.

Für die Stable-Distribution (Sarge) wurden diese Probleme in Version 1.4.1-1.sarge7 behoben.

Für die kommende Stable-Distribution (Etch) wurden diese Probleme in Version 1.4.6-2 behoben.

Für die Unstable-Distribution (Sid) wurden diese Probleme in Version 1.4.6-2 behoben.

Wir empfehlen Ihnen, Ihre gnupg-Pakete zu aktualisieren.

Behoben in:

Debian GNU/Linux 3.1 (sarge)

Quellcode:: http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge7.dsc; http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge7.diff.gz; http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1.orig.tar.gz
Alpha:: http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge7_alpha.deb
AMD64:: http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge7_amd64.deb
ARM:: http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge7_arm.deb
HPPA:: http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge7_hppa.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge7_i386.deb
Intel IA-64:: http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge7_ia64.deb
Motorola 680x0:: http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge7_m68k.deb
Big endian MIPS:: http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge7_mips.deb
Little endian MIPS:: http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge7_mipsel.deb
PowerPC:: http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge7_powerpc.deb
IBM S/390:: http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge7_s390.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge7_sparc.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.