Alert GCSA-06036 - Vulnerabilita' in GnuPG

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1


******************************************************************
      Alert ID : GCSA-06036
          Data : 27 giugno 2006
        Titolo : Vulnerabilita' in GnuPG
******************************************************************


- - Descrizione del problema

E' stata individuata una vulnerabilita' in GnuPG che consente un attacco
nell'allocazione di memoria. Il difetto, oltre a consentire il blocco
delll'applicazione, potrebbe permettere ad un aggressore remoto di
sovrascrivere aree memoria per mezzo di uno user ID packet di dimensioni
eccessive, provocando un integer overflow cosi' come dimostrato tramite
l'opzione "--no-armor".

http://www.securityfocus.com/bid/18554/exploit



- - Piattaforme, software e moduli interessati

GnuPG versione 1.4.3-20060403 e precedenti
GnuPG versione 1.9.20 e precedenti

OpenPKG 2.5 e current
Ubuntu Linux versione 6.06 LTS, 5.10 e precedenti
Mandrake Linux varie versioni



- - Impatto

Denial of Service (crash dell'applicazione)



- - Soluzioni

Aggiornare il prodotto all'ultima versione:

gnupg-1.4.4-20060625
http://www.gnupg.org/download/

GnuPG 1.4.4 released (security bug fix)
http://lists.gnupg.org/pipermail/gnupg-announce/2006q2/000226.html



- - Riferimenti:

GnuPG 1.4.4 released (security bug fix)
http://lists.gnupg.org/pipermail/gnupg-announce/2006q2/000226.html

CVE ID: CVE-2006-3082
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3082

Bugtraq ID: 18554
http://www.securityfocus.com/bid/18554

Secunia Advisory: SA20783
http://secunia.com/advisories/20783

OpenPKG Security Advisory: OpenPKG-SA-2006.010-gnupg
http://www.openpkg.org/security/advisories/OpenPKG-SA-2006.010-gnupg.html

Mandriva Linux OS Advisory ID: MDKSA-2006:110
http://www.mandriva.com/security/advisories?name=MDKSA-2006:110

Ubuntu Security Notice USN-304-1
http://www.ubuntu.com/usn/usn-304-1?highlight=%28USN-304-1%29


-----BEGIN PGP SIGNATURE-----

iQCVAwUBRKD7CPOB+SpikaiRAQKk6AP8CLtJGgvY1xlFHDgiqYRS1lXNuFMYFtTo
oqjajlKDVeGVLaw0cM6lDeJwknbjJ3q2k/A6tE73UkWI5r5faV3ASmSBCQc72Tgr
cH+KCycIUxohkXeDHQPXycJv+qIrEU4IhakMSJwEQKvDN4hqnkcrNYXK2FHpwvWJ
eK5kitV5iFE=
=UgLY
-----END PGP SIGNATURE-----