CVE-2018-12020
CVE-2018-12020
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
mainproc.c in GnuPG before 2.2.8 mishandles the original filename during decryption and verification actions, which allows remote attackers to spoof the output that GnuPG sends on file descriptor 2 to other programs that use the "--status-fd 2" option. For example, the OpenPGP data might represent an original filename that contains line feed characters in conjunction with GOODSIG or VALIDSIG status codes.
CVSS 7.5 · Hoch · EPSS 8,2% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: system
Betroffene Produkte und Versionen
n/a
- Softwareversionen
- n/a: Betroffen
Keine Korrektur veröffentlicht
gnupg1 Debian:12
- Betroffene Versionsbereiche
- ECOSYSTEM: < 1.4.22-5
Auf 1.4.22-5 aktualisieren
gnupg1 Debian:13
- Betroffene Versionsbereiche
- ECOSYSTEM: < 1.4.22-5
Auf 1.4.22-5 aktualisieren
gnupg1 Debian:14
- Betroffene Versionsbereiche
- ECOSYSTEM: < 1.4.22-5
Auf 1.4.22-5 aktualisieren
gnupg2 Debian:12
- Betroffene Versionsbereiche
- ECOSYSTEM: < 2.2.8-1
Auf 2.2.8-1 aktualisieren
gnupg2 Debian:13
- Betroffene Versionsbereiche
- ECOSYSTEM: < 2.2.8-1
Auf 2.2.8-1 aktualisieren
gnupg2 Debian:14
- Betroffene Versionsbereiche
- ECOSYSTEM: < 2.2.8-1
Auf 2.2.8-1 aktualisieren
gnupg Ubuntu:14.04:LTS
- Softwareversionen
- 1.4.14-1ubuntu2
- 1.4.15-1.1ubuntu1
- 1.4.15-1.1ubuntu2
- 1.4.15-2ubuntu1
- 1.4.16-1ubuntu1
- 1.4.16-1ubuntu2
- 1.4.16-1ubuntu2.1
- 1.4.16-1ubuntu2.3
- 1.4.16-1ubuntu2.4
- Betroffene Versionsbereiche
- ECOSYSTEM: < 1.4.16-1ubuntu2.5
Auf 1.4.16-1ubuntu2.5 aktualisieren
gnupg2 Ubuntu:14.04:LTS
- Softwareversionen
- 2.0.20-1ubuntu3
- 2.0.22-1ubuntu1
- 2.0.22-3ubuntu1
- 2.0.22-3ubuntu1.1
- 2.0.22-3ubuntu1.3
- Betroffene Versionsbereiche
- ECOSYSTEM: < 2.0.22-3ubuntu1.4
Auf 2.0.22-3ubuntu1.4 aktualisieren
python-gnupg Ubuntu:Pro:14.04:LTS
- Softwareversionen
- 0.3.5-2
- 0.3.6-1
- Betroffene Versionsbereiche
- ECOSYSTEM: < 0.3.6-1ubuntu0.1~esm1
Auf 0.3.6-1ubuntu0.1~esm1 aktualisieren
gnupg Ubuntu:16.04:LTS
- Softwareversionen
- 1.4.18-7ubuntu1
- 1.4.19-6ubuntu1
- 1.4.20-1ubuntu1
- 1.4.20-1ubuntu2
- 1.4.20-1ubuntu3
- 1.4.20-1ubuntu3.1
- Betroffene Versionsbereiche
- ECOSYSTEM: < 1.4.20-1ubuntu3.2
Auf 1.4.20-1ubuntu3.2 aktualisieren
gnupg2 Ubuntu:16.04:LTS
- Softwareversionen
- 2.0.28-3ubuntu1
- 2.0.28-3ubuntu2
- 2.1.11-6ubuntu1
- 2.1.11-6ubuntu2
- Betroffene Versionsbereiche
- ECOSYSTEM: < 2.1.11-6ubuntu2.1
Auf 2.1.11-6ubuntu2.1 aktualisieren
python-gnupg Ubuntu:Pro:16.04:LTS
- Softwareversionen
- 0.3.7-2
- 0.3.8-1
- 0.3.8-2
- Betroffene Versionsbereiche
- ECOSYSTEM: < 0.3.8-2ubuntu0.1~esm1
Auf 0.3.8-2ubuntu0.1~esm1 aktualisieren
enigmail Ubuntu:16.04:LTS
- Softwareversionen
- 2:1.8.2-0ubuntu1
- 2:1.8.2-4fakesync1
- 2:1.9.1-1
- 2:1.9.7-1~ubuntu0.16.04.1
- 2:1.9.9-0ubuntu0.16.04.1
- 2:2.0.3-0ubuntu2~16.04.1
- 2:2.0.6-0ubuntu1~16.04.1
- 2:2.0.7-0ubuntu1~16.04.1
- 2:2.0.8-1~ubuntu0.16.04.2
- 2:2.1.6+ds1-1~ubuntu0.16.04.1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
gnupg2 Ubuntu:18.04:LTS
- Softwareversionen
- 2.1.15-1ubuntu8
- 2.2.4-1ubuntu1
- Betroffene Versionsbereiche
- ECOSYSTEM: < 2.2.4-1ubuntu1.1
Auf 2.2.4-1ubuntu1.1 aktualisieren
python-gnupg Ubuntu:18.04:LTS
- Softwareversionen
- 0.3.9-1
- 0.4.1-1ubuntu1
- Betroffene Versionsbereiche
- ECOSYSTEM: < 0.4.1-1ubuntu1.18.04.1
Auf 0.4.1-1ubuntu1.18.04.1 aktualisieren
enigmail Ubuntu:18.04:LTS
- Softwareversionen
- 2:1.9.8.3-1
- 2:1.9.9-1
- 2:1.9.9-2
- 2:2.0.3-0ubuntu2~18.04.1
- 2:2.0.6-0ubuntu1~18.04.1
- 2:2.0.7-0ubuntu1~18.04.1
- 2:2.0.8-1~ubuntu0.18.04.2
- 2:2.1.2-0ubuntu1~18.04.2
- 2:2.1.6+ds1-1~ubuntu0.18.04.1
- 2:2.2.4-0ubuntu0.18.04.1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
gnupg1 Ubuntu:18.04:LTS
- Softwareversionen
- 1.4.22-1ubuntu1
- 1.4.22-3ubuntu1
- 1.4.22-3ubuntu2
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
enigmail Ubuntu:20.04:LTS
- Softwareversionen
- 2:2.1.2-0ubuntu1
- 2:2.1.3+ds1-3
- 2:2.1.3+ds1-4
- 2:2.1.5+ds1-1
- 2:2.1.6+ds1-1
- 2:2.2.4-0ubuntu0.20.04.1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
enigmail Ubuntu:22.04:LTS
- Softwareversionen
- 2:2.2.4-0.3
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
Originalquellen
- https://usn.ubuntu.com/3675-2/
- https://access.redhat.com/errata/RHSA-2018:2180
- https://lists.gnupg.org/pipermail/gnupg-announce/2018q2/000425.html
- http://openwall.com/lists/oss-security/2018/06/08/2
- https://www.debian.org/security/2018/dsa-4222
- https://access.redhat.com/errata/RHSA-2018:2181
- https://help.ecostruxureit.com/display/public/UADCE725/Security+fixes+in+StruxureWare+Data+Center+Expert+v7.6.0
- https://www.debian.org/security/2018/dsa-4224
- http://www.securityfocus.com/bid/104450
- https://www.debian.org/security/2018/dsa-4223
- https://usn.ubuntu.com/3675-3/
- http://www.securitytracker.com/id/1041051
- https://usn.ubuntu.com/3675-1/
- https://dev.gnupg.org/T4012
- http://www.openwall.com/lists/oss-security/2019/04/30/4
- http://seclists.org/fulldisclosure/2019/Apr/38
- http://packetstormsecurity.com/files/152703/Johnny-You-Are-Fired.html
- https://usn.ubuntu.com/3964-1/
- https://github.com/RUB-NDS/Johnny-You-Are-Fired
- https://github.com/RUB-NDS/Johnny-You-Are-Fired/blob/master/paper/johnny-fired.pdf
- https://lists.debian.org/debian-lts-announce/2021/12/msg00027.html
- https://nvd.nist.gov/vuln/detail/CVE-2018-12020