Проект GnuPG объявили на прошлой неделе о наличии обновлений для GnuPG и Libgcrypt, которые устраняют критическую уязвимость, затрагивающую все версии, выпущенные в течение последних 18 лет.
GNU Privacy Guard, также известный как GnuPG и GPG - свободная реализация стандарта OpenPGP. GPG используется популярными инструментами для шифрования email. Libgcrypt – крипто-библиотека общего назначения на основе GPG.
Исследователи Феликс Дерре и Владимир Клебанов из технологического института в Германии обнаружили проблему в функции генератора псевдослучайных чисел (PRNG).
«Из-за этого недостатка часть результата функции PRNG становится полностью предсказуема» - эксперты в статье.
По словам Вернера Коха (Werner Koch), разработчика GnuPG, злоумышленник, который сможет получить 4640 бит, будет способен предсказать следующие 160 бит выходных данных.
Уязвимость, отслеживающаяся как CVE-2016-6313, затрагивает все версии GnuPG и Libgcrypt, выпущенные с 1998 года. Проблема была решена с выпуском Libgcrypt 1.7.3, 1.6.6 и 1.5.6; GnuPG-2 2.0.x, 2.1.x, и GnuPG 1.4.21.
Программные проекты, которые используют GnuPG и Libgcrypt, как ожидается, выпустят свои обновления.
