SR03-044 Sårbarhet i GnuPG

Publicerad: 031127

Problembeskrivning:
CVE-referens: -
Phong Nguyen har upptäckt en sårbarhet i GnuPG. GnuPG 1.0.2 till och med 1.2.3 skapar ElGamal signerings och krypteringsnyklar typ 20 på ett svagt sätt. Detta kan utnyttjas för att röja den privata nyckeln utifrån signerad eller krypterad data. ElGamal signerings och krypteringsnyklar av typ 20 bör uppfattas som otillförlitliga. Standardnycklarna som genereras i GnuPG är inte påverkade av detta. Vidare är ej ElGamal krypteringsnycklar av typ 16 påverkad.

Påverkade versioner:
ElGamal signerings och krypteringsnycklar i GnuPG 1.0.2 till och med 1.2.3. Nycklar som genererats i tidigare versioner kan vara opåverkade av sårbarheten. Dock är även dessa påverkade om de har hanterats för signering i GnuPG 1.02 till och med 1.2.3.

Uppdatering:
http://lists.gnupg.org/pipermail/gnupg-announce/2003q4/000161.html

Motverkan:
Använd inte ElGamal signerings och krypteringnycklar av typ 20.

Mer information:
http://lists.gnupg.org/pipermail/gnupg-announce/2003q4/000160.html

Versionshistorik:
031127: Särskilt råd skapat.