GnuPGの脆弱性情報(CVE-2022-34903)

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

06/30/2022にGnuPGの脆弱性情報(CVE-2022-34903)が公開されています。今回はこの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。




一次情報源

CVE番号 影響するバージョン リファレンス Priority CVSS
CVE-2022-34903 GnuPG <= 2.3.6

GnuPG signature spoofing via status line injection

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-34903
    • 特定条件下での署名偽造の脆弱性
    • 2.3.6までのGnuPGでは、攻撃者が被害者のキーリングからシークレットキーを持っていて他の成約条件が満たされる場合(即ちGPGMEを使っている場合)という移譲な状態では、ステータスラインへのインジェクションによる署名の偽造が可能になります。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください


対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteKatello、Spacewalk等を使うと管理が便利でしょう。

日々のメモを更新しています。

セキュリティ関係ニュースを更新しています。個別で情報出せるようになる前の簡単な情報・リンクなんかも載せていきます。

セミナー情報1

2022/06/24にこちらのセミナーで「最近の状況を鑑みた脆弱性対策の重要性について」として2022-Q1の脆弱性の情報を入れながら、脆弱性対策についてお話します。ご興味がありましたらぜひご参加下さい。

前へ

2022Q1セキュリティ脅威動向まとめ

次へ

OpenSSLの脆弱性情報(High: CVE-2022-2274, Moderate: CVE-2022-2097)と新バージョン(3.0.5, 1.1.1q)