Alert GCSA-07027 - Vulnerabilita' in GnuPG

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1


******************************************************************

     Alert ID : GCSA-07027
         Data : 12 marzo 2007
       Titolo : Vulnerabilita' in GnuPG

******************************************************************


:: Descrizione del problema:

    GnuPG e' affetto da una vulnerabilita' che potrebbe consentire
    ad un aggressore di aggiungere contenuti arbitrari in un messaggio
    firmato o criptato.

    L'aggiunta dei contenuti puo' essere operata in modalita' tale
    da non consentire al ricevente di distinguere tra le parti
    correttamente firmate e le parti contraffatte e non firmate.

    Lo sfruttamento di questo difetto dipende anche dall'applicazione
    client che utilizza GnuPG.


:: Software interessato:

    GnuPG GNU Privacy Guard 1.4.6 e precedenti

    Mozilla Enigmail 0.94.2
    KDE kmail 1.95 e precedenti
    Mutt 1.5.13

    RedHat Enterprise Linux AS, ES, WS (v2.1, v3, v4)
    RedHat Desktop 3.0, 4.0
    Slackware Linux 11.0, 10.x, 9.x
    MandrakeSoft Linux Mandrake 2007.0
    S.u.S.E. Linux 10.1 e precedenti
    Debian Linux 3.1
    Ubuntu Linux versione 6.10, 6.06 LTS, 5.10 e precedenti


:: Impatto:

    Aggiunta di contenuti arbitrari a messaggi firmati o criptati.


:: Soluzioni:

    Aggiornare il prodotto alla versione 1.4.7:

    http://www.gnupg.org/download/

    ftp://ftp.gnupg.org/gcrypt/gnupg/gnupg-1.4.7.tar.bz2


:: Riferimenti:

    GnuPG [Announce]
    http://lists.gnupg.org/pipermail/gnupg-announce/2007q1/000251.html

    Mitre's CVE ID:
    http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-1263

    SecurityFocus Bugtraq ID:
    http://www.securityfocus.com/bid/22757

    Core Security Technologies - CoreLabs Advisory
    http://www.coresecurity.com/?action=item&id=1687

    CIAC Advisory
    http://www.ciac.org/ciac/bulletins/r-172.shtml

    Red Hat Security Advisory
    http://rhn.redhat.com/errata/RHSA-2007-0106.html

-----BEGIN PGP SIGNATURE-----

iQCVAwUBRfVEtvOB+SpikaiRAQKsyQP9GT0D0b1qwaJjr2oFD/s20rN+inFQh/Cu
gDfx+7G4hRBYJDtkxO1tv+hbLGLiwUCpHsWgYF1bEalSuhcOps1aR6Yxt4mfjDjE
PFXI8H3bTQrVPaHwtNU4l9QgmHTCfe5wc65h2KrMCK1BcqNVELCUI72ut0T43YgF
eVIC6C0h5ps=
=IJPX
-----END PGP SIGNATURE-----