CVE-2018-12020
CVE-2018-12020
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
mainproc.c in GnuPG before 2.2.8 mishandles the original filename during decryption and verification actions, which allows remote attackers to spoof the output that GnuPG sends on file descriptor 2 to other programs that use the "--status-fd 2" option. For example, the OpenPGP data might represent an original filename that contains line feed characters in conjunction with GOODSIG or VALIDSIG status codes.
CVSS 7.5 · Alta · EPSS 8,2% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system
Productos y versiones afectados
n/a
- Versiones
- n/a: Afectada
Sin corrección publicada
gnupg1 Debian:12
- Intervalos de versiones afectados
- ECOSYSTEM: < 1.4.22-5
Actualiza a 1.4.22-5
gnupg1 Debian:13
- Intervalos de versiones afectados
- ECOSYSTEM: < 1.4.22-5
Actualiza a 1.4.22-5
gnupg1 Debian:14
- Intervalos de versiones afectados
- ECOSYSTEM: < 1.4.22-5
Actualiza a 1.4.22-5
gnupg2 Debian:12
- Intervalos de versiones afectados
- ECOSYSTEM: < 2.2.8-1
Actualiza a 2.2.8-1
gnupg2 Debian:13
- Intervalos de versiones afectados
- ECOSYSTEM: < 2.2.8-1
Actualiza a 2.2.8-1
gnupg2 Debian:14
- Intervalos de versiones afectados
- ECOSYSTEM: < 2.2.8-1
Actualiza a 2.2.8-1
gnupg Ubuntu:14.04:LTS
- Versiones
- 1.4.14-1ubuntu2
- 1.4.15-1.1ubuntu1
- 1.4.15-1.1ubuntu2
- 1.4.15-2ubuntu1
- 1.4.16-1ubuntu1
- 1.4.16-1ubuntu2
- 1.4.16-1ubuntu2.1
- 1.4.16-1ubuntu2.3
- 1.4.16-1ubuntu2.4
- Intervalos de versiones afectados
- ECOSYSTEM: < 1.4.16-1ubuntu2.5
Actualiza a 1.4.16-1ubuntu2.5
gnupg2 Ubuntu:14.04:LTS
- Versiones
- 2.0.20-1ubuntu3
- 2.0.22-1ubuntu1
- 2.0.22-3ubuntu1
- 2.0.22-3ubuntu1.1
- 2.0.22-3ubuntu1.3
- Intervalos de versiones afectados
- ECOSYSTEM: < 2.0.22-3ubuntu1.4
Actualiza a 2.0.22-3ubuntu1.4
python-gnupg Ubuntu:Pro:14.04:LTS
- Versiones
- 0.3.5-2
- 0.3.6-1
- Intervalos de versiones afectados
- ECOSYSTEM: < 0.3.6-1ubuntu0.1~esm1
Actualiza a 0.3.6-1ubuntu0.1~esm1
gnupg Ubuntu:16.04:LTS
- Versiones
- 1.4.18-7ubuntu1
- 1.4.19-6ubuntu1
- 1.4.20-1ubuntu1
- 1.4.20-1ubuntu2
- 1.4.20-1ubuntu3
- 1.4.20-1ubuntu3.1
- Intervalos de versiones afectados
- ECOSYSTEM: < 1.4.20-1ubuntu3.2
Actualiza a 1.4.20-1ubuntu3.2
gnupg2 Ubuntu:16.04:LTS
- Versiones
- 2.0.28-3ubuntu1
- 2.0.28-3ubuntu2
- 2.1.11-6ubuntu1
- 2.1.11-6ubuntu2
- Intervalos de versiones afectados
- ECOSYSTEM: < 2.1.11-6ubuntu2.1
Actualiza a 2.1.11-6ubuntu2.1
python-gnupg Ubuntu:Pro:16.04:LTS
- Versiones
- 0.3.7-2
- 0.3.8-1
- 0.3.8-2
- Intervalos de versiones afectados
- ECOSYSTEM: < 0.3.8-2ubuntu0.1~esm1
Actualiza a 0.3.8-2ubuntu0.1~esm1
enigmail Ubuntu:16.04:LTS
- Versiones
- 2:1.8.2-0ubuntu1
- 2:1.8.2-4fakesync1
- 2:1.9.1-1
- 2:1.9.7-1~ubuntu0.16.04.1
- 2:1.9.9-0ubuntu0.16.04.1
- 2:2.0.3-0ubuntu2~16.04.1
- 2:2.0.6-0ubuntu1~16.04.1
- 2:2.0.7-0ubuntu1~16.04.1
- 2:2.0.8-1~ubuntu0.16.04.2
- 2:2.1.6+ds1-1~ubuntu0.16.04.1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
gnupg2 Ubuntu:18.04:LTS
- Versiones
- 2.1.15-1ubuntu8
- 2.2.4-1ubuntu1
- Intervalos de versiones afectados
- ECOSYSTEM: < 2.2.4-1ubuntu1.1
Actualiza a 2.2.4-1ubuntu1.1
python-gnupg Ubuntu:18.04:LTS
- Versiones
- 0.3.9-1
- 0.4.1-1ubuntu1
- Intervalos de versiones afectados
- ECOSYSTEM: < 0.4.1-1ubuntu1.18.04.1
Actualiza a 0.4.1-1ubuntu1.18.04.1
enigmail Ubuntu:18.04:LTS
- Versiones
- 2:1.9.8.3-1
- 2:1.9.9-1
- 2:1.9.9-2
- 2:2.0.3-0ubuntu2~18.04.1
- 2:2.0.6-0ubuntu1~18.04.1
- 2:2.0.7-0ubuntu1~18.04.1
- 2:2.0.8-1~ubuntu0.18.04.2
- 2:2.1.2-0ubuntu1~18.04.2
- 2:2.1.6+ds1-1~ubuntu0.18.04.1
- 2:2.2.4-0ubuntu0.18.04.1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
gnupg1 Ubuntu:18.04:LTS
- Versiones
- 1.4.22-1ubuntu1
- 1.4.22-3ubuntu1
- 1.4.22-3ubuntu2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
enigmail Ubuntu:20.04:LTS
- Versiones
- 2:2.1.2-0ubuntu1
- 2:2.1.3+ds1-3
- 2:2.1.3+ds1-4
- 2:2.1.5+ds1-1
- 2:2.1.6+ds1-1
- 2:2.2.4-0ubuntu0.20.04.1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
enigmail Ubuntu:22.04:LTS
- Versiones
- 2:2.2.4-0.3
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
Fuentes originales
- https://usn.ubuntu.com/3675-2/
- https://access.redhat.com/errata/RHSA-2018:2180
- https://lists.gnupg.org/pipermail/gnupg-announce/2018q2/000425.html
- http://openwall.com/lists/oss-security/2018/06/08/2
- https://www.debian.org/security/2018/dsa-4222
- https://access.redhat.com/errata/RHSA-2018:2181
- https://help.ecostruxureit.com/display/public/UADCE725/Security+fixes+in+StruxureWare+Data+Center+Expert+v7.6.0
- https://www.debian.org/security/2018/dsa-4224
- http://www.securityfocus.com/bid/104450
- https://www.debian.org/security/2018/dsa-4223
- https://usn.ubuntu.com/3675-3/
- http://www.securitytracker.com/id/1041051
- https://usn.ubuntu.com/3675-1/
- https://dev.gnupg.org/T4012
- http://www.openwall.com/lists/oss-security/2019/04/30/4
- http://seclists.org/fulldisclosure/2019/Apr/38
- http://packetstormsecurity.com/files/152703/Johnny-You-Are-Fired.html
- https://usn.ubuntu.com/3964-1/
- https://github.com/RUB-NDS/Johnny-You-Are-Fired
- https://github.com/RUB-NDS/Johnny-You-Are-Fired/blob/master/paper/johnny-fired.pdf
- https://lists.debian.org/debian-lts-announce/2021/12/msg00027.html
- https://nvd.nist.gov/vuln/detail/CVE-2018-12020