Ein Fehler in NAI PGP ermöglicht es wahrscheinlich Angreifern, beliebigen Programmcode auf dem Opfersystem mit den Rechten des PGP-Nutzers auszuführen.

Betroffene Systeme

• Systeme, die PGP Corporate Desktop 7.1.1 verwenden.

Einfallstor
Daten im OpenPGP-Format

Auswirkung
Ein Angreifer kann vermutlich beliebigen Code mit den Rechten des Anwenders ausführen
(remote user compromise)

Typ der Verwundbarkeit
buffer overflow bug

Gefahrenpotential
hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Das OpenPGP-Format stellt eine Möglichkeit zur Verfügung, den Original-Dateinamen einer Datei, die verschlüsselt oder signiert wird, mit abzuspeichern, damit der Empfänger unabhängig vom Transportkanal den Original-Dateinamen wiederherstellen kann. PGP 7.1.1 versucht, den Original-Dateinamen (der maximal 255 Zeichen lang sein kann) in einem zu kurzem Puffer zu speichern, wodurch es zu einem Pufferüberlauf kommt. Wahrscheinlich ist es möglich, daß ein Angreifer diese Schwachstelle verwenden kann, um beliebigen Code mit den Rechten des PGP-Nutzers auszuführen. Da PGP regelmäßig in kritischen Umgebungen eingesetzt wird, ist diese Schwachstelle äußerst problematisch. Der gespeicherte Original-Dateiname ist unabhängig vom Dateinamen, der z.B. für ein PGP-Attachment angezeigt wird. Ein Angriffsversuch läßt sich also nicht vorher erkennen.)

Es ist damit zu rechnen, daß die PGP-Software (insbesondere die graphische Benutzungsoberfläche) weitere Probleme aufweist; da aber nur Teile des Quellcodes offenliegen, läßt sich dies nicht nachprüfen.

Dem ersten Augenschein zufolge besitzt PGP 2.6.3 die jetzt entdeckte Schwachstelle nicht; das RUS-CERT hat jedoch keine genaue Analyse vorgenommen. Da PGP 2.6.3 nicht mehr gewartet wird, ist vom Einsatz dieser Version abzuraten.

Gegenmaßnahmen

• Installation eines Hotfixes von NAI. (Es handelt sich um den Patch "Outlook LFN".)

Vulnerability ID

• CAN-2002-0850

Weitere Information zu diesem Thema

• Hotfix for long file names (Anleitung zum Patch von NAI)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/