S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 17 août 2006 No CERTA-2006-AVI-328-001

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans GnuPG

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Déni de service à distance.

2 Systèmes affectés

GnuPG / gpg version 1.4.4 et versions antérieures.

3 Résumé

Une vulnérabilité dans GnuPG permet à un utilisateur distant de provoquer un déni de service à distance.

4 Description

Une vulnérabilité causée par une erreur dans le traitement des messages fournis en entrée permet de réaliser un déni de service en consommant les ressources du processeur ou en causant l'arrêt brutal de l'application. Cette vulnérabilité a été découverte dans le fichier parse_packet.c. Elle peut être exploitée par un utilisateur mal intentionné au moyen d'un message contenant des chaînes extrêmement longues.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité Debian DSA 1140 du 03 août 2006:

  http://www.debian.org/security/2006/dsa-1140
  

• Bulletin de sécurité Debian DSA 1141 du 04 août 2006:

  http://www.debian.org/security/2006/dsa-1141
  

• Bulletin de sécurité RedHat RHSA-2006:0615 du 02 août 2006 :

  http://rhn.redhat.com/errata/RHSA-2006-0615.html
  

• Bulletin de sécurité Ubuntu USN-332-1 du 03 août 2006 :

  http://www.ubuntulinux.org/usn/usn-332-1
  

• Bulletinde sécurité Mandriva MDKSA-2006:141

  http://www.mandriva.com/security/advisories?name=MDKSA-2006:141
  

• Référence CVE CVE-2006-3746 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3746
  

Gestion détaillée du document

04 août 2006

version initiale ;

17 août 2006

ajout du bulletin de sécurité Mandriva.