远程 Debian 9 主机上安装的程序包受到 dla-2862 公告中提及的多个漏洞影响。

  - 在 2.2.8 之前版本的 GnuPG 中， mainproc.c 在解密和验证操作期间会错误处理原始文件名，从而允许远程攻击者欺骗 GnuPG 在文件描述符 2 上发送给使用 --status-fd 2 选项的其他程序的输出。例如，OpenPGP 数据可能表示包含换行字符以及 GOODSIG 或 VALIDSIG 状态代码的原始文件名。
    (CVE-2018-12020)

  - python-gnupg 0.4.3 允许上下文相关的攻击者诱骗 gnupg 解密其他非预期密码文本。要发动攻击，gnupg 的密码必须由攻击者控制，且密文应受到信任。与 CWE-20 相关：对影响功能组件造成影响的不当输入验证问题。(CVE-2019-6690)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

检测

Debian DLA-2862-1：python-gnupg - LTS 安全更新

high Nessus 插件 ID 156336

未找到变更日志