已发现 GnuPG 容易遭受针对 RSA 秘密指数的 Yarom/Falkner flush+reload 缓存边信道攻击。能够在与 GnuPG 进程共享 L3 缓存的逻辑 CPU 上执行进程的攻击者（如不同本地用户或启用内核同页合并功能的相同主机上运行的 KVM 客户机的用户）可能利用此缺陷获取部分 RSA 秘密密钥。(CVE-2013-4242)

在 GnuPG 解析某些压缩 OpenPGP 数据包的方式中发现拒绝服务缺陷。当解析数据时，攻击者可利用此缺陷向 GnuPG 发送特别构建的输入数据，从而使 GnuPG 进入无限循环。(CVE-2013-4402)

已发现将损坏的公钥导入 GnuPG keyring 数据库会损坏该 keyring。攻击者可利用此缺陷诱骗本地用户将特别构建的公钥导入其 keyring 数据库，从而导致 keyring 损坏并阻止其进一步使用。(CVE-2012-6085)

已发现 GnuPG 未正确解释 PGP 密钥数据包中的密钥标记。GPG 可接受并非其拥有者指定的密钥使用。(CVE-2013-4351)

KB Sriram 氏は、GnuPG が特定の無効な形式のキーを不適切に処理することを発見しました。ユーザーまたは自動化されたシステムが騙されて無効な形式のキーをインポートした場合、GnuPG キーリングが破損する可能性があります。

影響度が低いセキュリティ修正の更新。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

gpg2 のこの更新は次の修正を提供します。

- #780943：ファイルを暗号化/復号化する時に正しいファイル権限を設定します。

- #798465：公開鍵データベースの破損を引き起こす可能性のある問題を修正します。(CVE-2012-6085)

- #808958：FIPS モードで実行するときに正しい暗号を選択します。

1.4.13 より前の GnuPG 1.4.x および 2.0.19 までの GnuPG 2.0.x における g10/import.c 内の read_block 関数により、リモートの攻撃者が、キーをインポートする際に、OpenPGP パケットの細工された長さフィールドを通じて、公開用のキーリングデータベースを破損したり、サービス拒否（アプリケーションのクラッシュ）を引き起こしたりする可能性があります。

複数のセキュリティの問題を修正する更新済みの gnupg パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

GNU Privacy Guard（GnuPG または GPG）は、データを暗号化し、デジタル署名を作成するためのツールであり、提案された OpenPGP インターネット標準および S/MIME 標準に準拠しています。

GnuPG が RSA 秘密指数への Yarom/Falkner flush+reload のキャッシュサイドチャネル攻撃に脆弱なことが判明しました。攻撃者が L3 キャッシュを GnuPG プロセスと共有する論理 CPU でプロセスを実行できる場合（異なるローカルユーザーまたはカーネル同一ページマージ機能を有効にした同じホスト上で実行される KVM ゲストのユーザーなど）、この欠陥を利用して、RSA 秘密鍵の一部を取得する可能性があります。(CVE-2013-4242)

GnuPG が特定の圧縮 OpenPGP パケットを解析する方法で、サービス拒否の欠陥が見つかりました。攻撃者が、この欠陥を利用して、特別に細工された入力データを GnuPG に送信して、データを解析するときに GnuPG を無限ループに陥らせる可能性があります。(CVE-2013-4402)

破損した公開鍵を GnuPG キーリングデータベースにインポートすると、そのキーリングが破損することが判明しました。攻撃者が、この欠陥を利用して、ローカルのユーザーを騙して、特別に細工された公開鍵をキーリングデータベースにインポートさせることにより、キーリングを破損し、使用できなくさせる可能性があります。(CVE-2012-6085)

GnuPG が PGP キーパケットのキーフラグを適切に解釈しないことが判明しました。GPG が、所有者によって指示されていない使用目的のために鍵を受け付ける可能性があります。(CVE-2013-4351)

Red Hat は、CVE-2013-4402 の問題を報告してくれた Werner Koch 氏に感謝の意を表します。Upstream は、Taylor R Campbell 氏を最初の報告者として認めます。

gnupg の全ユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

GnuPG が RSA 秘密指数への Yarom/Falkner flush+reload のキャッシュサイドチャネル攻撃に脆弱なことが判明しました。攻撃者が L3 キャッシュを GnuPG プロセスと共有する論理 CPU でプロセスを実行できる場合（異なるローカルユーザーまたはカーネル同一ページマージ機能を有効にした同じホスト上で実行される KVM ゲストのユーザーなど）、この欠陥を利用して、RSA 秘密鍵の一部を取得する可能性があります。(CVE-2013-4242)

GnuPG が特定の圧縮 OpenPGP パケットを解析する方法で、サービス拒否の欠陥が見つかりました。攻撃者が、この欠陥を利用して、特別に細工された入力データを GnuPG に送信して、データを解析するときに GnuPG を無限ループに陥らせる可能性があります。(CVE-2013-4402)

破損した公開鍵を GnuPG キーリングデータベースにインポートすると、そのキーリングが破損することが判明しました。攻撃者が、この欠陥を利用して、ローカルのユーザーを騙して、特別に細工された公開鍵をキーリングデータベースにインポートさせることにより、キーリングを破損し、使用できなくさせる可能性があります。(CVE-2012-6085)

GnuPG が PGP キーパケットのキーフラグを適切に解釈しないことが判明しました。GPG が、所有者によって指示されていない使用目的のために鍵を受け付ける可能性があります。(CVE-2013-4351)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
70604	Scientific Linux 安全更新：SL5.x i386/x86_64 中的 gnupg	Nessus	Scientific Linux Local Security Checks	2013/10/25	2021/1/14	medium
63467	Ubuntu 8.04 LTS/10.04 LTS/11.10/12.04 LTS/12.10：gnupg、gnupg2 の脆弱性（USN-1682-1）	Nessus	Ubuntu Local Security Checks	2013/1/10	2019/9/19	medium
63631	Fedora 16 : gnupg2-2.0.19-7.fc16 （2013-0222）	Nessus	Fedora Local Security Checks	2013/1/21	2021/1/11	medium
68951	SuSE 11.3 セキュリティ更新：gpg2（SAT パッチ番号 7919）	Nessus	SuSE Local Security Checks	2013/7/18	2021/1/19	medium
68952	SuSE 11.3 セキュリティ更新：gpg2（SAT パッチ番号 7919）	Nessus	SuSE Local Security Checks	2013/7/18	2021/1/19	medium
88870	F5 Networks BIG-IP：GnuPG の脆弱性（SOL11785283）	Nessus	F5 Networks Local Security Checks	2016/2/22	2021/3/10	medium
70601	RHEL 5：gnupg（RHSA-2013:1458）	Nessus	Red Hat Local Security Checks	2013/10/25	2021/1/14	medium
70604	Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の gnupg	Nessus	Scientific Linux Local Security Checks	2013/10/25	2021/1/14	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium