Project ORCAコミュのセキュリティ情報◆[OSA 2007-002] New gnupg package fix signature forgery

ORCA Project Security Advisory OSA 2007-002 security@orca.med.or.jp
http://www.orca.med.or.jp/orca/security/ 2007/03/19
---------------------------------------------------------------------------

Package : gnupg
Vulnerability : 複数
Problem type : ローカル(リモート)
Debian-specific : いいえ
CVE ID : CVE-2007-1263

Gerardo Richarte さんにより、フリーな PGP 代替プログラム GnuPG が、署名さ
れた部分と署名されていない部分の混在した OpenPGP メッセージに対して、ユー
ザに必要な判断を求めていないことが発見されました。この欠陥により、署名済み
のメッセージ中にテキストセグメントを挿入して、署名されたメッセージのように
ユーザに見せかけることが可能となります。この更新ではそのような攻撃を防止し
ます。以前のように振る舞わせることも、--allow-multiple-messages オプション
をつけることで可能です。

ディストリビューション(woody)では、この問題はバージョン 1.0.6-5orca.woody4
で修正されています。

直ぐにパッケージをアップグレードすることを勧めます。

アップグレード手順
------------------
ORCAプロジェクトで提供するセキュリティアップデートパッケージを入手するには、
/etc/apt/sources.listファイルに以下の行を追加してください。

deb ftp://ftp.orca.med.or.jp/pub/woody-updates woody/updates main contrib
non-free

apt-get パッケージマネージャを用いている場合には、上記の行を sources.list に
加えて、

apt-get update
を実行して内部データベースを更新し、
apt-get upgrade
によって修正されたパッケージをインストールしてください。

Debian GNU/Linux 3.0 alias woody
---------------------------------
ソースアーカイブ:

http://ftp.orca.med.or.jp/pub/woody-updates/dists/oldstable-security/main/source/utils/gnupg_1.0.6-5orca.woody4.dsc
Size/MD5 checksum: 356 58bebb36281580912bb8b21bdd586cd5

http://ftp.orca.med.or.jp/pub/woody-udpates/dists/oldstable-security/main/source/utils/gnupg_1.0.6.orig.tar.gz
Size/MD5 checksum: 1941676 7c319a9e5e70ad9bc3bf0d7b5008a508

http://ftp.orca.med.or.jp/pub/woody-updates/dists/oldstable-security/main/source/utils/gnupg_1.0.6-5orca.woody4.diff.gz
Size/MD5 checksum: 50514 2154e27524949adf878654d7932f8eca

Intel IA-32 アーキテクチャ:

http://ftp.orca.med.or.jp/pub/woody-updates/dists/oldstable-security/main/binary-i386/utils/gnupg_1.0.6-5orca.woody4_i386.deb
Size/MD5 checksum: 967830 cea88eee880b8c0aefd6cb1c9d431146
----------------------------------------------------------------------