S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 09 septembre 2002 No CERTA-2002-AVI-204

Affaire suivie par :

CERTA

Objet : Vulnérabilité de PGP

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Exécution de code arbitraire ;
• divulgation du mot de passe associé à la clé privée PGP.

2 Systèmes affectés

PGP Corporate Desktop 7.1.1 sur Windows 2000 et XP.

3 Résumé

Une vulnérabilité de PGP de type débordement de mémoire permet à un utilisateur mal intentionné d'exécuter du code arbitraire à distance, et de récupérer le mot de passe associé à la clé privée de la victime.

4 Description

Dans les fonctions de chiffremenent et de déchiffrement d'un fichier, il est possible d'exploiter une vulnérabilité de type débordement de mémoire en utilisant un nom de fichier trop long.

Un utilisateur mal intentionné peut ainsi chiffrer un message habilement conçu et le faire déchiffrer par la victime. Il lui est alors possible d'exécuter des commandes sur la machine cible, et de récupérer le mot de passe associé à la clé privée de la victime. En effet, le débordement de mémoire a lieu juste après le déchiffrement du fichier, et avant l'effacement de la mémoire contenant le mot de passe.

5 Solution

Appliquer le correctif publié par NAI (cf. section Documentation).

6 Documentation

• Avis de sécurité 090502-PCRO de Foundstone Labs :

  http://www.foundstone.com/knowledge/randd-advisories-display.html?id=334
  

• Correcitf de NAI :

  http://www.nai.com/naicommon/download/upgrade/patches/patch-pgphotfix.asp
  

Gestion détaillée du document

09 septembre 2002

version initiale.