S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 13 mars 2006
N° CERTA-2006-AVI-103-002
Affaire suivie par: CERT-FR
le 13 mars 2006

Avis du CERT-FR

Objet: Vulnérabilité dans GnuPG

Gestion du document

Référence CERTA-2006-AVI-103-002
Titre Vulnérabilité dans GnuPG
Date de la première version 13 mars 2006
Date de la dernière version 16 mars 2006
Source(s) Bulletin de sécurité GnuPG du 9 mars 2006
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Atteinte à l'intégrité des données.

Systèmes affectés

GnuPG versions 1.4.2.1 et antérieures.

Résumé

Une vulnérabilité dans GnuPG permet à un utilisateur de porter atteinte à l'intégrité des données.

Description

GnuPG présente une erreur dans la mise en œuvre du contrôle de la validité d'une signature accompagnant un document. Elle permet à un utilisateur d'insérer des données arbitraires dans un document signé (typiquement du texte supplémentaire dans un message) sans que GnuPG détecte une erreur d'intégrité.

Solution

La version 1.4.2.2 de GnuPG corrige le problème :

http://www.gnupg.org/download/

Documentation

Gestion détaillée du document

    le 13 mars 2006
    version initiale.
    le 14 mars 2006
    ajout des références aux bulletins de sécurité Gentoo et Mandriva, corrections références Debian et FreeBSD.
    le 16 mars 2006
    ajout de la référence au bulletin de sécurité RedHat.