Alexander Kjäll 和 Stig Palmquist 在 GNU Privacy Guard 的包裝函式 python-gnupg 中發現一個弱點。使用對稱加密時，可以透過 gnupg.GPG.encrypt() 和 gnupg.GPG.decrypt() 函式的 passphrase 屬性插入資料。提供的密碼未經新行驗證，且程式庫將 --passphrase-fd = 0 傳遞給 gpg 可執行檔案，該檔案期望 stdin 第一行中的密碼，以及加密文字在後續行中被解密或純文字被加密。透過提供包含新行的密碼，攻擊者可以控制/修改要解密/加密的密碼文字/純文字。針對 Debian 8「Jessie」，此問題已在 0.3.6-1+deb8u1 版本中修正。建議您升級 python-gnupg 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-1675-1：python-gnupg 安全性更新

high Nessus Plugin ID 122195

找不到變更記錄